pentru studen ții Facultăț ii de Inginerie 2007 Cuvânt înainte, Cursul „Securitatea sistemelor informatice” se adreseaz ă studenților de la… [603348]

UNIVERSITATEA DIN BAC ĂU
FACULTATEA DE INGINERIE

POPA SORIN EUGEN

SECURITATEA SISTEMELOR
INFORMATICE

note de curs și aplica ții
pentru studen ții Facultăț ii de Inginerie

2007

Cuvânt înainte,

Cursul "Securitatea sistemelor informatice" se adreseaz ă
studenților de la specializarea Tehnologia informa ției anul III.
Cursul este structurat pe două părți, prima de teorie con ține 8
capitole referitoare la defini ții, clasific ări, proceduri, programe și sisteme
de asigurare a securit ății sistemelor informatice ș i a informa țiilor și a
doua parte con ține 6 lucr ări practice de laborator.

Partea teoretic ă începe cu no țiuni generale privind securitatea
informațiilor, cu definirea no țiunilor privind securitatea și prezentarea
standardului de securitate ISO / IEC 17799.
În al doilea capitol se prezint ă clasificarea modern ă a
informațiilor, criteriile de clasificare func ție de domeniul de activitate,
principii de clasificare, declasificare și degradare a informa țiilor.
Al treilea capitol trateaz ă aspecte privind accesul personalului în
sistemele informatice, cu tipuri de control al accesului, metode de
autentificare și identificare a utilizatorilor.
Capitolul patru, intitulat "Criptografia" trateaz ă aspecte ale
metodelor de ascundere a informa țiilor astfel încât acestea s ă fie
accesibile doar destinatarului acestora. Se prezint ă definițiile de baz ă a
criptografiei, steganografiei, filigran ării, principiile de criptare prin cheie
publică și prin cheie privat ă, noț iuni privind semn ătura digital ă și a
sistemelor de certificare a cheilor publice.
În al patrulea capitol, intitulat "Modele și programe de securitate",
se prezintă modelele de securitate multinivel și multilateral, precum și
programe, politici, norme și standarde de securitate.
Capitolul șase face o introducere în securitatea re țelelor de
calculatoare, prezentându-se principalele mecanisme utilizate în securitatea re țelelor de calculatoare: DHC P, firewall, servere proxy,
filtrele de pachete, precum și tehnica re țelelor VPN.
Capitolul al șaptelea prezint ă tehnici, servicii și soluții de
securitate pentru Intranet-uri și portaluri, cu deta lierea unor aspecte
prinvind tehnicile de criptare și a funcțiilor folosite pentru transmiterea
securizată a cheilor de criptare, autent ificarea Kerberis 5, SSL/TTL,
NTLM, SSH, S/MIME ș i prezentarea firewall-urilor.
Ultimul capitol, al optulea, prezint ă Strategii de securitate ale
războiului informa țional.

A doua parte a volumului con ține șase lucră ri practice de
laborator în care se vor experimenta și verifica no țiunile și tehnicile de
securitate predate în cadrul cursului.
Cele șase lucrări de laborator trateaz ă următoarele probleme:
criptarea și steganografia, instalarea ș i configurarea firewall-urilor,
instalarea și configurarea server elor proxy sub Windows și sub Linux,
realizarea unei re țele VPN printr-un tunel OpenVPN.

Autorul

1. Noțiuni privind securit atea informa țiilor
1.1. Introduc ere
Societatea îmbr ățișează din ce în ce m ai mult tehnologia inf ormației. Inf ormația
care p ână nu de m ult avea la baz ă hârtia, îm bracă acum forma electronic ă. Inform ația pe
suport de hârtie m ai este încă rezerv ată docum entelo r oficiale, ac olo unde este necesar ă
o semnătură sau o stam pilă. Adoptarea sem năturii ele ctronice deschide îns ă perspectiva
digitizării co mplete a doc umentelor, c el puțin din punct de vedere func țional.
Acest nou m od de lucru, în care calc ulatorul a devenit un instrum ent
indispensabil și un m ijloc de com unicare p rin tehnologii precum poșta electronic ă sau
Intern etul, atrag e după sine riscuri specifi ce. O gestiune corespunz ătoare a
docum entelor în form at electron ic face necesar ă implementarea unor m ăsuri specifice.
Măsurile ar trebu i să asigure protec ția inf ormațiilor îm potriv a pierde rii, distrug erii sau
divulgării n eautor izate. Cel m ai sensibil a spect es te acela de a asigura se curitatea
informației gestion ată de sistem ele infor matice în noul context tehnologic.
Securitate a inf ormației este un con cept m ai larg car e se r eferă la asigurarea
integ rității, confiden țialității și disponibilit ății inf ormației. Dinam ica tehno logiei
informației induce no i riscu ri pentru care org anizațiile tre buie să implem enteze n oi
măsuri de control. De exem plu, popularizarea unit ăților de inscr ipționat CD-uri sau a
memoriilor portab ile de capacitate m are, induce riscu ri de copiere neautorizat ă sau furt
de date.
Lucrul în re țea și con ectarea la In ternet indu c și ele r iscuri suplim entare, de
acces neauto rizat la d ate sau chiar frauda.
Dezvoltarea tehnologic ă a fost acom paniată și de solu ții de se curitate,
producătorii de echipamente și aplicații incluzând m etode tehnice de protec ție din ce în
ce m ai perfor mante. Totu și, în timp ce în dom eniul tehnologiilor inform aționale
schim barea este exponen țială, com ponenta um ană rămâne neschim bată. Asigurarea
securității inf ormațiilor nu se poa te realiza exclusiv prin măsuri teh nice, f iind în
principal o problem ă umană.
Major itatea inciden telor de secur itate sunt generate de o gestiune și organizare
necorespunz ătoare, și mai puțin din cauza unei deficien țe a mecanism elor de securitate.
Este im portant ca organiza țiile să conștientizeze riscurile as ociate cu utiliza rea
tehnologiei și ges tiona rea inf ormațiilor și să abordeze po zitiv acest subiect printr-o
conștientizare în rândul angaja ților a im portanței securit ății infor mațiilor, înțelegerea
tipolog iei amenințărilor, riscur ilor și vulnerabilit ăților spe cifice m ediilor informatizate
și aplicarea practicilor d e contro l.
Organiza ția Inte rnaționala pentru Standardizare (ISO ) împreuna cu Comisia
Internațională Electrotehnic ă (IEC ) alcătuiesc un forum specializat pen tru
standardizare. Organismele na ționale care sunt m embre al e ISO și IEC particip ă la
dezvoltarea standardelor interna ționale pr in inte rmediul com itetelor tehnice. Statele
Unite ale A mericii, prin Institutu l Național de Standardizare, ocup ă poziția de Secretar,
24 de țări au statut de Participan ți (Brazilia, Fr anța, Regatul Unit al Marii Brita nii,
Coreea, Cehia, Germ ania, Danemarca, Be lgia, Portugalia, Japonia, Olanda, Irlan da,
Norvegia, A frica de Sud , Austra lia, Canada, Finlanda, Sued ia, Slovenia, Elve ția, Noua
Zeelandă și Italia) și alte 40 de țări au statut de O bservatori.
5

Securitatea siste melor informatice
Prin activitatea sus ținuta de Ministerul Com unicațiilor și Tehnologiei
Inform ației (MCTI) de adoptare la nivel na țional a standardelor europene și
internaționale recunoscute, standardul ISO/IEC 17799 – “Tehnologia Inform ației – Cod
de bună practică pentru m anagementul securit ății inf ormației” a fost adoptat și în
Rom ânia de către Asoc iația de S tandardizare din Rom ânia (ASRO), din toam na anului
2004. Standardul este recunoscut în rezolu țiile Consiliulu i Europei, implem entarea
acestu ia la n ivelul organ izațiilor fiind opțională.
1.2. Definirea noțiunii de securitatea Informa țiilor
Ca și acțiunile prin care o organiza ție își apără angajații și bunurile, securitatea
informațiilor este f olosită în prim ul rând pentru a oferi asigur ări că drept urile care
derivă din proprie tatea intelectuală sunt protejate în m od corespunz ător.
Obiectivul principal al unui program pentru protec ția informa țiilor îl
reprez intă asigurarea încrederii partenerilor de afaceri, avanta jul competitiv,
conformitatea cu cerin țele legale și maximiz area investițiilor.
Indiferent de form a pe care o îmbrac ă, mijloacele p rin care es te m emorată,
transm isă sau distribuit ă, informația trebuie protejat ă.
ISO/IEC 17799 trateaz ă secur itatea informațiilor prin pris ma a trei e lemente
princ ipale:
• Confidențialita tea – inf ormațiile sunt acces ibile d oar perso anelor au torizate;
• Integritatea – asigurarea acurate ței și com pletitu dinii m etodelor prin ca re se
realizează prelucrarea inform ațiilor;
• Disponibilitatea – ut ilizatorii autoriza ți au acc es la inf ormații și la activele
asociate în mom ente oportune.

Pentru a putea realiza u n program de securi tate ef icient este nevoie d e politici,
proceduri, practici, standard e, descrieri ale sarcinilo r și responsabilit ăților de serviciu,
precum și de o arhitectur ă generală a securității.
Aceste controale trebu ie im plem entate pe ntru a se atinge obiectivele specifice
ale securit ății și pe cele g enerale ale o rganizației.

Dependen ța din ce în ce m ai mare de sis temele inform aționale conduce la
creșterea tipologiei vulnerabilit ăților cărora organizațiile trebuie să le f acă față. Mai
mult, problem a protecție trebu ie să aibă în veder e de m ulte ori interconec tarea rețelelor
priva te cu serviciile pu blice. Dacă la acest asp ect m ai adăugam și problem a partajării
informațiilor se contu rează un tablou destul de com plicat în care im plem entarea unor
controale eficiente devine o sarcin ă dificilă pentr u specia listul IT&C.
Multe din sistem ele existente pe pia ță au fost proiectate dup ă metodologia
structurată dar nu au avut ca principal obiectiv și asigurarea unui anum it grad de
securita te pentru că la mom entul respectiv tehnol ogia nu era atât de dezvoltat ă și nici
atât de accesibil ă neinițiaților. Odat ă însă cu proliferarea Internetului ca și mijloc
important al com unicării m oderne nevoia unor m ecanis me de securitate proactiv ă a
devenit o certitudine. În practic ă remarcăm că multe instituții apeleaz ă la soluții tehnice
extern e care să le rezo lve problem ele de securitate f ără a căuta să-și iden tifice nevoile și
cerințele specifice.
Identificarea controalelo r intern e care să asigure un grad corespunz ător de
securita te ac tivelor inf ormaționale ale unei institu ții presupune o planificare riguroas ă și
identificarea exact ă a ob iectivelo r respectivei in stituții. Pentru a fi îns ă eficiente aces te
6

Cap 1 – Noțiuni p rivind secu ritatea in form ațiilor
controale trebuie s ă aibă în vedere pe to ți angajații și nu doar pe cei din com partim entul
IT sau care au leg ătură directă cu acest dom eniu.
Securitatea infor mațiilor nu este do ar o problem ă tehnică. Ea este în primul rând
o problem ă managerială.
Standardul de securitate ISO/IEC 17799 r ăspunde nevoilor organiza țiilor de
orice tip, publice sau private, printr-o serie de practici de gestiun e a securit ății
informațiilor.
Standardu l poate f i folosit în f uncție de gradul de expunere a fiec ărei organiza ții
în parte, pentru a con știentiza la nivelu l con ducerii a spectele legate de se curitatea
informației, sau pentru a crea o cultur ă organiza țională în ceea ce prive ște securitatea
informațiilor, sau pentru a ob ține certificarea sis temului de securitate.
Gradul de expunere a sistem elor infor maționale variaz ă cu industria în care
activ ează fiecare o rganizație. Cu cât acest ris c este m ai mare, atenția care treb uie
acordată securității datelor ar trebui s ă fie mai mare.
Instituțiile financiare, industria ap ărării, ae rospațială, industria tehnologiei
informației, industria electronic ă sunt sectoarele cu cel m ai mare grad de ris c în ceea ce
privește securitatea informațiilor. Tot în ace astă categ orie de ris c ridicat intr ă și
instituțiile guvernam entale, m otiv pentru care adoptarea unei culturi organiza ționale pe
baza standardului ISO/IEC 17799 are un rol fundam ental.

Stabilir ea cerințelor
Este im portant ca fiecare organiza ție să poată să-și identif ice propriile ce rințe de
securitate. P entru aceas ta ea trebuie sa fac ă apel la trei su rse principale:
• analiza riscu rilor;
• legislația ex istentă;
• standard ele și procedu rile inte rne.

Folosind o m etodologie corespunz ătoare pentru a analiza ris curile organiza ția își
poate iden tifica prop riile cerințe legate de securitate. Un as tfel de proces presupune în
general patru etape principale:
• identificare activ elor care trebu ie pro tejate;
• identificarea risc urilor/am enințărilor specifice fiec ărui activ;
• ierarhizarea riscu rilor;
• identificarea controalelo r prin care vor fi elim inate/dim inuate riscurile

Nu trebuie îns ă trecute cu vederea nici aspectele financiare.
Fiind un obiectiv com un, dictat de cerin țele de afacere, pentru c ă până la ur mă
orice activ itate deru lată de o organiza ție are o rațiune econo mica, în i mplem entarea unei
arhitecturi de securitate trebuie puse în balan ță costurile și ben eficiile.
Un mecanism de control nu treb uie să coste organiz ația ma i mu lt decât
bunul ce trebuie protejat.
Stabilire a cerințelor de s ecuritate, a m ăsurilor necesare pentru a asigura nivelu l
de control dorit, are o com ponentă deseori subiectiv ă, fiind dif icil de cuantif icat în
temeni m onetari pierderea suferit ă în ca zul u nui inc ident de securitate. Aspectele
intang ibile precum alte rarea im aginii organ izației pe pia ță, credib ilitatea în fa ța
clienților sau efectele in directe ale u nui inciden t de securitate m ajor, sunt cel m ai greu
de apreciat. Aceasta este ra țiunea și pentru care adoptarea unor standarde și pra ctici
general acceptate, sus ținute de evalu ări periodice independente este de recom andat.
7

Securitatea siste melor informatice
Acest proces nu este unul static, altfel spus trebuie avute în perm anenta în
vedere schimb ările care intervin în viata organ izației pentru a fi reflectate corespunz ător
în planul de s ecuritate. Dacă spre exem plu apare o m odificare leg islativă cu impact
asupra institu ției, trebuie avut în vedere din nou m odelul folosit pentru evaluarea
riscurilor pentru a vedea dac ă aces ta reflectă riscurile apărute ca u rmare a acestei
modificări.
În acest sens, ISO/IEC 17799 pr opune o serie de obiective de secu ritate și
controale din rândul c ărora profesioni știi le pot selecta pe acel ea care corespund afacerii
în care func ționează. Pe de alt ă parte acest stand ard nu trebu ie cons iderat un panaceu al
securității informațiilor atât tim p cât el of eră doar recom andări celor car e răspund de
implem entarea și managem entul unui sistem de securitate în cadrul unei organiza ții.

De unde se începe
Controalele interne pot f i consid erate principiile care s tau la baza im plem entării
unui sistem de m anage ment al securit ății. Chiar dacă sursele unor astfel de m ăsuri pot fi
destul de variate, punctul de plecare într-un astfel de dem ers îl reprezint ă legislația
aplic abilă. Este foarte important ca cel care se ocup ă de implem entarea unui sistem de
manage ment al securit ății să aibă cunoștințe despre actualele cerin țe leg islative :
• Legea nr. 161 din 19 aprilie 2003 privi nd unele m asuri pentru asigurarea
transparentei în exercitar ea dem nitarilor publice, a func țiilor publice si în
mediul de afaceri, prevenirea s i sancționarea co rupției.
• Legea nr. 506 din 17 noiem brie 2004 privi nd prelucrarea datelor cu caracter
personal si protec ția vieții priv ate în s ectoru l comunica țiilor e lectron ice.
• Legea nr. 677 din 21 noiem brie 2001 pentru protec ția persoanelor cu privire
la pre lucrarea date lor cu carac ter personal si libe ra circulație a acesto r date.
• Legea nr. 455 din 18 iulie 2001 privind sem nătura elec tronica.
• Legea nr. 544 din 12 octom brie 2001 privind lib erul acces la inform ațiile de
interes public.
• Hotărârea nr. 1259 din 13 decembrie 2001 privind aprobarea Norm elor
tehnice si m etodologice pentru ap licarea Legii nr. 455-2001 privind
semnătura electron ica.
• Ordinul Avocatului Popor ului nr. 52 din 18 aprili e 2002 privind aprobarea
Cerințelor m inime de securitate a prelucr ărilor de date cu ca racter personal.
• Ordinul Avocatului Popor ului nr. 53 din 18 aprili e 2002 privind aprobarea
formularelor tipiza te ale notif icărilor prevăzute de Legea nr. 677/2001 pentru
protecția persoanelor cu privire la prelucra rea d atelor cu caracter p ersonal si
libera circula ție a aces tor date.
• Ordinul Avocatului Popor ului nr. 54 din 18 aprili e 2002 privind stabilirea
unor situa ții în care nu este n ecesara no tificarea prelucr ării unor date cu
caracter personal care cad sub inci denta Legii nr. 677/ 2001 pentru protec ția
persoanelor cu privire la prelucrarea datelo r cu caracter personal si lib era
circu lație a a cestor d ate.
• Hotărârea nr. 781 din 25 iu lie 2002 privind protec ția informa țiilor sec rete de
serviciu.
• Legea nr. 182 din 12 aprilie 2002 privind protec ția informațiilor clas ificate.

8

Cap 1 – Noțiuni p rivind secu ritatea in form ațiilor
Pe lângă legislația internă trebuie avute în vedere și Convențiile interna ționale și
Reglement ările comunita re semnate de Rom ânia sau în care Rom ânia este parte.
Selectarea controalelo r trebuie s ă țină cont de specificul organiza ției. Nu toate
recom andările pot fi aplicate, cum nu toate sunt justificate din punct de vedere a l
costurilo r. Eficacitatea sistem ului de securitate depinde de:
• stabilirea un or obiective de securitate care s ă refle cte cerințele organiza ției;
• sprijinului conducerii;
• existența abilităților necesar e realizării analizei riscurilor, a vulnerabilit ăților
și a ana lizei de im pact;
• instru irea an gajaților;
• monitoriz ata controa lelor implem entate.

ISO/IEC 17799 a fost dezvoltat ca punct de plecare în dezvoltarea unui sistem de
manage ment al securit ății specific fiec ărei instituții în pa rte. De aici rez ultă caracterul
său general, controalele prezen tate în standard putând fi luate ca exem ple pentru s ituații
specifice fiec ărei instituții în p arte.
Prim ele două secțiuni ale stand ardului prezint ă Scopul respectiv Termeni și
Definiții. Scopul standardului ISO/IEC 17799 st abilește rolul acestu i doc ument ca f iind
un ghid pentru dom eniul securit ății informaționale.
Prin prezen tarea Term enilor și Definițiilor din secțiunea a doua, standardul
asigură un limbaj com un pentru profesioni știi dom eniului. Urm ătoarele sec țiuni prez intă
obiectivele de control și măsurile p rin care s e pot atinge aces te obiective.

1.3. Sec țiunile standardului de securitate ISO / IEC 17799.
1.3.1. Politica de securitate
Obiectivu l politicii de securitate este să ofere m anagem entului institu ției
sprijinul necesar asigur ării securității inf ormațiilor din cadru l organiz ației.
Conducerea oric ărei ins tituții trebuie s ă ofere suportul necesar prin elaborarea
unui document intitulat Politica de Securitate, docum ent care trebuie adus la cuno ștință
tuturo r anga jaților.
Fără un astfel de document exist ă riscul ca rolurile și responsabilit ățile re lative la
asigurarea s ecurității inf ormaționale să fie greșit înțelese. Nedezvoltarea unui astfel de
docum ent și neaducerea la cuno ștința angajaților a politicii de securitate a com paniei
induce de cele m ai multe ori o stare de s uperficialitate în trat area acestor aspecte.
Existen ta unei viziuni clare a con ducerii și o com unicare efectiv ă a acesteia c ătre
angajați este funda mentală pentru asigurarea eficien ței oricăror proceduri și măsuri de
securitate sp ecifice.
1.3.2. Organizarea securit ății
Organizarea securit ății are ca obiectiv as igurarea unei ad ministrări unitare în
cadrul o rganizației.
Fiecare utilizator al sis temului inform ațional este responsabil cu asigurarea
securității datelor pe car e le m anipulează. Exis tența unei structuri organizatorice unitare
9

Securitatea siste melor informatice
care să inițieze și să controleze im plem entarea m ecanis melor de s ecuritate în cadrul
organizației, presupune un punct central de coor donare – responsabil cu securitatea.
Rolul și atribuțiile persoanei care ocup ă poziția de responsabi l cu secur itatea
informațiilor se ref eră la coordonarea și urmărirea respect ării procedurilor și politicilor
de secur itate.
Organizarea securit ății nu se lim itează doar la p ersonalu l intern, trebuie avute în
vedere și riscurile ind use de ter ți sau subcontractori care au acces la sistemul
informațional. Acest risc nu este deloc de neglijat, ultim ele tendințe ale pieței globale ne
arată o reco nsiderare a pozi ției com paniilor f ață de externalizarea func țiilor IT, tocm ai
datorită riscului m are indus de subcontractarea acesto ra.
Obiectivul organiz ării securit ății, așa cum este docum entat în s tandard este și
menținerea securit ății tuturor f acilităților IT și activelo r informaționale accesate de c ătre
terțe persoane, fiind recom andată stabilirea unu i proces prin care accesu l terților să fie
contro lat.
1.3.3. Clasificarea și contro lul act ivelor
Măsurile de protec ție sunt proiectate în func ție de gradul de senzitivitate, și de
semnificația econom ică a resurselor vizate. Perim etrele în care s unt am plasate
echipam entele de proces are, vor fi p rotejat e cu b ariere de acces suplim entare. La fel și
telecomunicațiile cu un nivel ridicat de confiden țialita te ar tre bui crip tate. Pentru a ave a
totuși o abo rdare co erentă asupra m ăsurilor specifice de protec ție, în f uncție de gradul
de senzitivitate al fiec ărei resu rse în parte s e practică o clas ificare a inform ațiilor.
Clasif icarea inf ormațiilor este n ecesa ră atât pen tru a perm ite alocarea res urselo r
necesare protej ării aces tora, cât și pentru a determ ina pierderile poten țiale care pot să
apară ca urm are a m odificărilor, pierderii/distrugerii sau divulg ării acestora.
Obiectivu l clasificării es te crearea p remizelor n ecesare as igurării unei protec ții
corespunz ătoare va lorii activ elor ins tituției. Toate activele o rganizației trebuie s ă aibă
asocia t un proprie tar. Politica de securita te trebuie să identifice ang ajații cu ro l de
proprietar, custode, client, utilizator.
1.3.4. Securitatea personalului
Cele m ai multe incidente de secur itate s unt generate de pers onal din interiorul
organizației, prin acțiuni rău intenționate sau chiar erori sau neglijen ță în utilizar ea
resurs elor in form aționale.
Standardul ISO/IEC 17799 trateaz ă riscurile de natur ă umană ce pot fi induse
din interiorul organiza ției pr in măsuri spec ifice precum includere a resp onsabilităților
legate de securitate a inf ormațiilor în descrie rea și sarcin ile de serviciu ale postulu i,
implementarea unor politici de verificare a angaja ților, încheierea un or acorduri de
confidențialitate și prin clauze sp ecifice în con tractele d e muncă.
Securitatea infor mațiilor este un asp ect ce trebu ie avut în vedere încă din etapa
de selecție a anga jaților. Angaja ții trebuie monitoriz ați pe întreaga perioad ă de
valabilitate a contractului de m uncă și trebuie să aibă cunoștință de prevederile
politicilor d e securitate. Clauzele de confiden țialita te, def inirea conf lictelor de intere se,
distribuirea și divu lgare a informațiilor trebuie avute în vedere pentru fiecare post în
parte.
Pentru a evita neglijen ța sau greșelile de operare, utilizat orii ar trebui inform ați
cu privire la am enințările la care sunt supuse infor mațiile m anipulate. Instru irea ar
10

Cap 1 – Noțiuni p rivind secu ritatea in form ațiilor
trebu i să ofere cuno ștințele necesare asigur ării securității acestora în tim pul program ului
norm al de lucru.
Utilizato rii trebu ie instr uiți cu p rivire la proce durile de securitate ce trebu ie
urmate și utiliza rea facilităților IT în conf ormitate cu politica organiza ției.
Ar trebui s ă existe un program coerent de instruire a angaja ților pe divers e
niveluri de interes, pe lâng ă o instruire general ă în gestiun ea securit ății fiind necesa re și
specializări pentru adm inistratorii sistem ului in formatic în tehno logii de secu ritate
specifice.
Chiar dac ă securitatea unei anum ite zone IT, cum ar fi securitatea re țelei revine
unei entit ăți externe, e ste o prac tică bună ca și în in teriorul organ izației să exis te
competențele și abilitatea de a evalu a cum sunt satisf ăcute cerințele de securitate.
Instruirea est e necesară și pentru a crea ab ilitatea d e reacție la ap ariția unor
inciden te de securitate.
Raportarea inciden telor de securitate are ca obiectiv m inimizarea efectelor
negativ e sau a incorectei func ționări a echipam entelor. Mon itorizarea unor astfel de
inciden te permite deter minarea per formantei sistem elor de securitate și îmbunătățirea
continuă.
Politicile și procedur ile de securitate trebuie im plem entate as tfel încât să asigure
un răspuns consistent la as tfel de incidente.
1.3.5. Securitatea fizic ă
Delim itarea zonelor securizate are ca obi ectiv prevenirea accesulu i neautorizat
sau afectarea facilit ăților oferite de sistem ul inform ațional.
Aceasta sec țiune vizeaz ă mecanism ele prin care se as igură securitatea f izică a
imobilului în care o rganizația își desfășoară activitatea.
Alt aspect i mportant al securit ății fizice este cel legat de protec ția
echipam entelor, prin prevenirea pierder ii, dis trugerii sau com promiterii f uncționării
echipam entelor care pot afecta func ționarea organiza ției.
Echipam entele de calcul trebuie s ă fie protejate fizic îm potriv a am enințărilor
voite sau acciden tale. În acest se ns trebuie dezvoltate standarde și proceduri pentru
securizarea atât a serv erelor, cât și a stațiilor de lucru ale utilizatorilo r.
Măsurile de control al accesulu i, implem entate la nivelu l aplicației, baz elor de
date sau re țelei pot deveni inutile dac ă există și o protec ție fizică corespu nzătoare.
1.3.6. Managementul comunica țiilor și al oper ării
Operarea calculatoarelor trebu ie să asigure func ționarea fără riscuri și în bune
condiții a resurselor organiza ției. Această funcție vizează atât echipam entele și
aplic ațiile software, cât și celelalte elem ente necesare pro cesării inf ormației și susținerii
funcțiilor de afacere.
Practicile d e control recom andate pentru asigurarea oper ării de o m anieră
corectă și sigură, con stau în do cumentarea procedu rilor de op erare, contro lul
modificărilor aduse s istemului inf ormatic, atât la nivel hardware cât și software,
formalizarea tratării incidentelor de securitate și separarea responsabilit ăților.
Dinam ica mediului inform ațional dată de schim bările tehnologice continue cât și
de apariția de noi cerin țe din partea afacerii s upune sistem ul infor matic la noi dezvolt ări.
Dezvolta rea și testare a modificărilor aduse sistem ului existent pot cauza probleme
serioase op erării curen te. Pentru a contro la aces te riscuri sunt recom andate separ ări
11

Securitatea siste melor informatice
clare ale responsabilit ăților între dezvoltare, testar e și exploatare sus ținute și de o
separare a m ediilor folosite pentru aceste activit ăți.
Accesul pro gramatorilor pe m ediul de produc ție nu ar trebui perm is, iar dac ă
anum ite situ ații excepționale o cer, atunci ar treb ui controlat în deaproape.
Planificarea capacit ății sistem ului este un alt obiectiv al oper ării calcu latoarelo r
care are ca obiectiv m inimizarea ris curilor într eruperii sistemului ca urm are a atingerii
capacității maxime de procesare.
Asigurarea unei capacit ăți corespunz ătoare de procesare implic ă o planificare
riguroasă a activităților sprijinite de sistem ul inform ațional.
Trebuie dezvoltate proceduri și mecanism e de raportare care să identifice
utilizarea necorespunz ătoare a resurs elor precum și perioadele de utilizare.
Protecția îm potriv a software-ulu i malițios es te un aspect im portant întrucât cea
mai mare amenințare a activ elor inf ormatice es te dată de pierderea sau indisponibilitatea
datelo r ca u rmare a inf estării cu viru și inform atici. În toate sondajele, viru șii se află
printre prim ele locuri ca surs ă a incidentelor de secu ritate. Milioane de viru și
informatici sunt rapor tați anual. Protec ția împotriva viru șilor nu o asigur ă doar
administratorul sistem ului, ci și utilizatorul.
Asigurare a integ rității datelo r și a aplica țiilor software necesit ă măsuri d e
protecție prin care s ă se previn ă și să se detecteze in troducerea uno r aplicații ilegale în
sistem ul organiza ției.
Aplicațiile tip antiv irus trebuie in stalate pe toate calcu latoarele din sistem iar
utilizatorii trebuie instrui ți cu p rivire la folosirea acesto ra.
Alte aspecte ce fac obiectul m anagem entului oper ării și comunica țiilor v izează:
• întreținerea sistem ului, incluzând realizarea copiilor de siguran ță, într eținerea
jurna lelor de opera re, m enținerea înreg istrărilor cu erori de operare și
execuție.
• manage mentul rețelei, necesar asigu rării rețelelor de calcu latoare.
• manipularea și securitatea m ediilor de stocar e, pentru a pre veni întreru perea
activ ităților afacerii.
• schim bul de aplica ții și date între organiza ții, pentru a preveni p ierderea,
alterarea sau utiliza rea improprie a inf ormației.

Întreținerea sistem ului are ca obiectiv m enținerea disponibilit ății și inte grității
servic iilor I T.
Trebuie dezvolta te pro ceduri sp ecifice care s ă descrie ac țiunile prin care se
realizează întreținerea se rviciilor și echipam entelor IT. Între ținerea s istem ului trebuie s ă
fie un proces continuu care s ă includă obligato riu insta larea corecțiilor de securitate a
aplic ațiilor, sistem elor d e operare și sistem elor d e gestiune a bazelor de date, realizarea
copiilor de siguran ță, jurnalizarea activit ăților rea lizate în și de către sistem.
Managem entul rețelei are ca ob iectiv asigu rarea protec ției datelor trans mise prin
rețea și a inf rastructu rii fizice a rețelei.
Pentru protec ția rețelei sunt disponibile tehnologii specializate ce pot fi folosite
în im plem entare a măsurilor de se curitate și atingerea obiectiv elor de control:
• filtru – set d e reguli im plem entate la nivelu l unui router s au firewall prin care
acesta perm ite tran zitarea sau nu a traficu lui către și dinspre re țeaua unei
companii;
• firewall – dispozitiv prin care este co ntrolat tr aficul dintr e rețeaua com paniei
și rețelele ex terne aces teia;
12

Cap 1 – Noțiuni p rivind secu ritatea in form ațiilor
• Sistem pentru Detectarea Intruziunilo r (IDS – I ntrusion Detection Syste m),
dispozitiv (hardware sau software) dedicat in spectării traf icului unei rețele cu
scopul identific ării automate a activit ăților ilicite ;
• criptare co municații – procesul prin care da tele sunt aduse într-o form ă
neinte ligibilă persoanelor neautorizate;
• Rețea Virtu ală Privată (VPN – Virtua l Priv ate Network) – o re țea care
perm ite co municarea între do uă dispoz itive pr in interm ediul unei
infrastructuri publice (nesigure)
• zona dem ilitar izată (DMZ) este o parte a re țelei care p ermite accesul
controlat din re țeaua Internet. Ma șinile depen dente de ac cesul direc t la
rețeaua Internet, cum ar fi serverele de em ail și cele de web sunt adesea
plasate în as tfel de zone, izolate de re țeaua intern ă a organiza ției.

Măsurile tehnice singure nu pot asigura nivelul de protec ție neces ar, fără un
manage ment corespunz ător. Standardul ISO/IE C 17799 prezint ă controalele neces are
gestiunii corespunz ătoare a secu rității com unicațiilor.
Prevenir ea distrug erii m ediilor de stoca re al cărei efect s-ar concretiza în
întrerupe rea serviciilor sistem ului inf ormatic s-ar pu tea asigur a prin contro larea și
prote jarea mediilor de stoca re. Tr ebuie de zvoltate pro ceduri pr in care este contr olat
accesu l la orice m ediu de stocare și la docum entația sistem ului.
1.3.7. Controlul accesului
Confidențialita tea vizea ză protejarea inform ațiilor îm potriva oric ărui acces
neautor izat. Uneori este interpr etat în m od greșit ca aceast ă cerință este spec ifică
domeniului m ilitar și serviciilor de informații care trebu ie să-și protejeze planurile de
luptă, am plasam entul depozitelor de m uniție sau al rachetelor strateg ice, notele
informative. Este în să la fel de im portan tă pentru o organiza ție care do rește să-și apere
proprie tatea inte lectuală, rețetele de produc ție, datele despre pers onalul angajat, etc.
Pentru o ins tituție pub lică, datorită carac terului inf ormației pe care o gestion ează este
important să asigure în prim ul rând integritatea și disponibilitatea datelor.
Controlul accesulu i începe cu stab ilirea cerin țelor de acord are a d repturilor de
utiliza re a in formațiilor.
Accesul la facilit ățile și serv iciile of erite de s istem ul inf ormațional trebuie
controlat în func ție de s pecificul și cerințele m ediului în care își desfășoară activitatea
organizația.
Pentru a r ăspunde acestor cerin țe sunt în general definite o serie de reguli de
acces co relate cu atribu țiile fiecărui utiliza tor al sistem ului inf ormatic.
Menținerea acesto r regu li în lin ie cu cerințele organiza ției implică un proces de
gestiun e a accesulu i utilizato rilor sis temului. Obiectivul aces tui p roces este să prevină
utilizarea neautorizat ă a calcu latoarelor.
Trebuie s ă exis te p roceduri form ale prin care s ă se controleze alocarea
drepturilo r de acces la serviciile și resursele IT.
Utilizato rii autor izați trebuie ins truiți cu p rivire la m aniera în care trebu ie
raportate activit ățile sau acțiunile co nsiderate su specte.
Fiecare com ponentă a sistem ului inform ațional trebuie s ă facă obiectul m ăsurilo r
de control al accesu lui, datele trebu ie protejat e indiferent de for ma sau starea care le
caracterizeaz ă, fie că este vo rba de aplica ții software, sistem e de operare, baze de date
sau rețele de com unicații. Tehnologiile m ai vechi de gestiune a bazelor d e date precu m
13

Securitatea siste melor informatice
Fox Pro, de exem plu, nu pot asigura o protec ție a informa țiilor la n ivelul bazei d e date,
acestea fiin d stocate în fișiere nec riptate, acc esibile oric ărui utilizator, indiferent de
drepturile d e acces care i-au fo st atribuite la nivelu l aplicației. S istem ele de operare
precum DOS sau W indows 95/98 nu au m ecanisme de c ontrol al accesului, nefiind
posibilă restricționarea dreptur ilor de utilizar e a da telor la a cest niv el. Standard ul
prevede îns ă măsuri de control p entru fiecare n ivel al sis temului inform ațional:
• contro lul ac cesulu i la servic iile rețelei – conexiunile la serviciile re țelei
trebu ie con trolate iar pentru obținerea accesu lui la as tfel de servicii este
recom andată implementarea unei proceduri form ale.
• controlul accesului la nive lul sistemului de operare – sistem ul de operare
trebu ie să prevadă măsuri de restricționare a accesulu i la date exis tente pe
calcu latore.
• contro lul accesulu i la aplica ții – prev enirea accesu lui neauto rizat la
informațiile gestion ate de aplicațiile sof tware.

Oricât d e elaborate ar fi măsurile de contro l al accesului exis tă totdeauna
posibilitatea unei in truziuni, sau utilizarea inadecvat ă a resurselor existente.
Pentru a d etecta po tențialele activit ăți neautorizate es te ne cesară monitorizarea
accesu lui și utilizării sis temului inf ormatic.
Monitorizarea are un caracter continuu și implică păstrare a și revizuirea
periodică a înregistr ărilor cu even imentele de sis tem, și a activității utilizatorilor.

1.3.8. Dezvoltarea și întreținerea sistemului
Aproape mereu, atunci când e vorba de dezvoltarea și implementarea unui
sistem informatic, cerin țele de s ecuritate sunt n eglijate. Efortur ile sunt îndrep tate mai
mult spre aspectele func ționale și mai puțin pe controlu l riscu rilor de integr itate și
confidențialitate a inf ormațiilor. Or ganizațiile se expun la riscuri m ajore de operare ce
pot rezulta în pierderi financiare semnificative prin neglijarea unor m ăsuri minimale de
control al procesului de dezvoltare și im plem entare. Testarea aplica țiilor nu e ste
formalizată, ceea ce nu garanteaz ă calitate a dezvoltărilor, program atorilor li se perm ite
accesu l la m ediul de produc ție pentru corectarea unor erori nedetectate în procesul de
testare, inducând riscuri de integritate și dispon ibilitate a da telor.
Aspectele de securitate nu trebu ie ne glijate în partea de dezvoltare și
implementare, de și aces tea s-ar putea s ă deran jeze și să nu aduc ă aparent nici un
beneficiu. F ără a ține cont de recom andările de control ale acestu i proces, organiza ția
riscă să investeas că într-o aplic ație sau echipam ent care s ă nu-i ofere nici o garan ție
asupra inform ațiilor ges tionate.
Obiectiv ele de contro l prevăzute în aceas tă secțiune a standardului sunt m enite
să asigu re că noile sisteme dezvoltate au prev ăzute mecanism e de securitate, prin:
• dezvoltarea cerin țelor și analiza specifica țiilor de securita te;
• valida rea da telor de in trare
• controlul proces ării inte rne
• autentif icarea mesajelor transm ise ele ctronic
• valida rea da telor de ieșire
• utiliza rea tehnicilor de c riptare
• utilizarea m ecanism elor de sem nare electronic ă
14

Cap 1 – Noțiuni p rivind secu ritatea in form ațiilor
• protejarea codului aplica țiilor și a fișierelor sistemului de operare

De asem enea, este necesar ă și asigu rarea securit ății mediilor de dezvolta re și a
serviciilor suport. Mediile în care se dezvolt ă aplicații sau proiecte no i trebu ie strict
controlate. Mediul de testare trebuie separat de m ediul de produc ție, d atelor de te st
asigurându-li-se protec ția corespunz ătoare.
1.3.9. Planificarea continuit ății afacerii
Un plan de continu itate a afacerii reprezin tă o serie de m ăsuri de reac ție în caz
de urgență, de operare alternativ ă și de restau rare a situației în caz de dezastru pen tru a
asigura d isponibilitatea resurs elor critice și pen tru a pe rmite continu area activității în
cazul uno r inciden te majore. Majo ritatea comp aniilor nu au un astf el de plan de
continu itate, de cele m ai multe ori aceste as pecte sunt neglijate sau sunt lim itate la
achiziționarea unor echipam ente de rezerv ă sau toleran te la d efecte.
Scopul unui plan de continuitate este de a asista organiza țiile în a con tinua să
funcționeze atunci când activ itatea n ormală este întreruptă. Este mult mai bine ca a cest
lucru să fie planificat în avans, printr-o atitudine proactiv ă.
Planurile p entru con tinuitatea af acerii trebu ie să asigure disponibilitatea
proceselor considerat e critice p entru funcționarea organiza ției în cazu l apariției unor
dezastre sau întreruperi d e funcționare.
Asigurarea continuit ății afacerii p resupune parcurgerea etapelor de documentare,
testare și implem entare a planulu i de continu itate a afacerii.
Implementarea presupune instruirea personalului și dezvoltarea unor procese
speciale de gestiun e a situației de cr iză, precum și de actualizare periodic ă.
1.3.10. Conformitatea
Proiectarea, operarea sau ge stiunea sistem elor infor maționale pot face obiectul
unor reglementari, leg i sau angajam ente contractuale în ceea ce priv ește securitatea.
Pentru a evita înc ălcarea dispozi țiilor statutare sau legale , standardul prevede o
serie d e măsuri precum :
• identificarea legis lației aplicab ile
• utilizarea adecvat ă a licențelor so ftware sau a m aterialelor protejate de
drepturi de autor
• protejarea înregistr ărilor organiza ției (înreg istrări contabile, chei de crip tare,
jurnale de activitate, m edii de stocare, proceduri de lucru)

Pentru a as igura conf ormitatea cu politic ile și standard ele de securitate ale
organizației, securitatea sistem ului inf ormațional trebuie revizuit ă periodic pentru a
reflecta schimb ările tehnologice sau organizatorice.

15

2. Clasificarea inf ormațiilor
2.1. No țiuni introductive privind clasificarea modern ă a
informațiilor
Clasificarea înseam nă etichetări cre scătoare ale d ocumentelor sau infor mațiilor,
de la cel m ai de jos nivel, unde se situeaz ă informațiile des chise su neclasificate, la cele
confidențiale, urcând spre inform ații secrete și strict secrete.
În clas ificarea inform ațiilor s-a p lecat de la ideea c ă informațiile ca re prin
compromitere pot costa vie ți umane sunt m arcate drept secret, în tim p ce inform ațiile a
căror com promitere co stă pierderea multor vie ți umane sunt definite s trict secrete.
Personalul din dom eniu securit ății sistem elor sunt investi ți cu drepturi diverse,
de a lucra cu anum ite categorii de infor mații. Pe lini acces ului la unele catego rii de
informații, pentru exe rcitarea con trolului luc rurile sunt destul de clare: un angajat poate
citi docum entele dintr-o anum ită catego rie numai dacă el are cel pu țin dreptul de
accesare a infor mațiilor din acea categorie sau din un a superioa ră. Regula este c ă
informațiile pot circula d oar în sus, d e la conf idențial la sec ret și strict secret, în tim p ce
în sens invers, de sus în jos, pot circula doar dac ă o persoan ă auto rizată ia decizia de
declas ificare a aces tora.
Se utilizea ză două strategii de baz ă privind securitatea na țională, și anum e:
• tot ce ea ce n u este inte rzis este pe rmis;
• tot ce ea ce n u este pe rmis este inte rzis.

Se apeleaz ă la două tactici de im plem entare a st rategiei fundam entale privind
protejarea infor mațiilor deosebite:
• controlul discre ționar al accesu lui;
• contro lul leg al al accesu lui.

Prim a tactică de con trol al accesu lui implem entează principiul celui mai mic
privilegiu: nici o persoan ă, în virtutea rangului sau pozi ției ce o de ține, nu are drepturi
nelim itate d e a vedea in formațiile d eosebite, iar persoanele care au o as tfel de f acilitate
trebu ie să le vadă num ai pe cele care intr ă în sf era lor de a ctivitate.
Controlul d iscreționar al accesu lui este aplicat printr-o m atrice de contro l,
confor m modelului prezentat în fi gura 2.1. Pentru fiecare persoan ă aflată pe listă și
pentru fiecare inform ație, m atricea arat ă ceea ce poate face fiecare subiect cu obiectele
din listă: citire, scriere, execu ție, aprobare etc.

Subiect Obiect 1 Obiect 2 Obiect 3
Subiect 1 Execută Citește Citește
Subiect 2 Citește Citește/Scri e Aprobă
Subiect 3 Citește/Scri e Aprobă Citește/Scri e
Subiect 4 Aprobă Execută Execută
Subiect 5 Execută Citește Aprobă
Fig. 2. 1: Matricea de control al accesulu i.
16

Cap 2 – Clasificarea inform ațiilor
Controlul legal al accesului î și exercită forța pe baza legilor exis tente (legea
securității naționale), prin care sunt stabilite două tipuri de structuri de control:
ierarhizate și neie rarhizate.
Structu ra ierarhizat ă încadrează informațiile se nzitive în p atru ca tegorii: strict
secrete, secrete, confiden țiale și neclasificate;
În structu ra neierarhizat ă, sunt dou ă catego rii: co mpartim entate și cu obiec ții sau
ascunse vederii unor categorii de persoane. Compartim entările pot avea num e scurte,
sugestive, care s ă scoată în re lief anumite aspe cte. Catego ria cu obie cții privește ăn
special na ționalitate a potențialilor c ititori și autori ai ob iectelor.
Inform ațiile stric t secrete, care sunt într -o anum ită măsură com partim entare, se
numesc inform ații sen zitive com partim entate și presupun o aten ție deosebit ă la
întrebuințare. Doar o categorie d e informații este superioar ă aceste ia din urmă, și anume
despre i nformațiile d in planul oper ativ integra t unic sau răspunsul na țional în caz de
război.
2.2. Clasificarea informațiilor
Guvernele pleac ă de la o clasificare m ai largă a inform ațiilor, și anum e:
informații subiective și infor mații obiectiv e (față de împ ărțirea în clasificate și
neclas ificate).
2.2.1. Informa țiile subiective
Inform ațiile subiec tive au m ai fost carac terizate și ca "secrete adev ărate" sau
informații operaționale. Aceste inf ormații sunt unice pentru guvern, în sensul c ă el
decide asupra m odului în care se vor derula principalele activit ății ce-i revin. Cât timp
guvernul controleaz ă și protejeaz ă infor mațiile pe baza c ărora ia decizii, acele inform ații
nu pot fi dezv ăluite independent de c ătre adversar.
Aceste inf ormații au următoarele caracteristici:
• dimensiune reduc ă – secretul poate fi exprim at doa r prin câteva cuvinte; din care
cauză poate să fie ușor furat și distribuit a ltora;
• percep tibilitate un ivers ală – nu este nevoie de preg ătire special ă pentru a
înțelege secretul, o ricine poate s ă-l fure;
• supuse arbitrarului – pentru a intra în posesia lor un adversar le poate fura,
secretul nu poate fi descoperit independent;
• conținutul poate fi schimbat – secretul poate fi modificat și în ultim a clipă;
• sunt perisabile dup ă scurt tim p – secretele au o viață scurtă, el poate fi ținut doar
pentru o perioad ă scurtă de tim p.
2.2.2. Informa ții obiective
Inform ațiile obiec tive sunt ac elea care chia r dacă sunt descoperite, dezvoltate
sau controlate de c ătre guvern, pot fi deja cunoscute sau descoperite independent de o
altă țară. În aceas tă categorie intră infor mațiile științifice sau secretele științifice. Ace ste
informații nu pot avea un control absolut, ele țin de natura lucrurilor nu de un secret.
Inform ațiile obiective au urm ătoarele caracteristici:
• sunt confuze – de regul ă, nu se bazeaz ă pe o form ulă magică, pentru descrierea
informațiilor științifice s unt necesare rapoarte lu ngi, din aceast ă cauză ele nu se
pot transm ite ușor;
• pot fi înțelese num ai de oam enii de știință;
17

Securitatea siste melor informatice
• nu sunt supuse arbitrarului – și alții pot să afle răspunsul la o anum ită întrebare
științifică, dacă form ulează întrebarea resp ectivă;
• nu sunt sup use sch imbării – au caracter etern; un fenom en natural are o singur ă
valoare;
• pot avea o via ță lungă ca secret – al ții pot descoperi inform ațiile în m od
independen t, dar o astfel de descoperire n ecesită mult tim p, ceea ce va conduce
la păstrarea secretului pentru o lung ă perioadă de tim p.

Informațiile tehnice – secrete obiective
O altă categ orie de inform ații nu se încadreaz ă perfect în categoriile cun oscute,
obiective sa u subie ctive, ele fiind informațiile tehnice, d e genul proiectelor și execuțiilor
tehnice ale unor noi arm e (de exem plu), diferite de caracterul științific al proiect ării, și
sunt cunoscute ca inform ații tehnic e văzute ca s ecrete obiective.
Caracte risticile inf ormațiilor tehn ice sunt as emănătoare celor științifice, dar
există unele diferen țe. Față de inform ațiile științifice, inf ormațiile te hnice nu s unt
fenom ene naturale, ci înseam nă o m etodă, un proces, o tehnic ă sau un echipam ent
angajate în crearea unui produs. Se poate afirma c ă informațiile tehn ice sunt utiliz ate
pentru exploatarea inform ațiilor științifice.
Secrete co merciale
Secretele co merciale includ inform ațiile despre procesele de fabrica ție, rețetele
unor produse, precum și alte informații obiective care pot fi de scoperite independent de
către alții. Multe sec rete com erciale sun t asemănătoare infor mațiilor științifice și
tehnice.
2.2.3. Determinarea necesit ății clasific ării in formațiilor
În cazu l procesulu i de clasificare a in formațiilor se parcu rg trei etap e:
• stabilirea nevoii de clas ificare;
• determ inare a nivelu lui clasificării;
• determ inare a duratei c lasificării.

Etapa de stabilire a nevoii de clas ificare se realizeaz ă în cinci pa și, astfel:
• definirea cu exactitate a infor mațiilor de clas ificat (opțional, dar recom andat);
• stabilirea d acă informațiile se în cadrea ză în unul d in dom eniile supuse
clasificării;
• verificarea d acă informațiile se află sub control guvernam ental;
• determ inarea dac ă dezvăluirea inf ormațiilor p oate conduce la produ cerea de
daune pentru securitatea na țională;
• specificarea precis ă a nevoii de clas ificare a inform ațiilor.

Determinarea nivelurilor clas ificării
La cla sificarea une i informații, acesteia i s e va atribui un nivel de clas ificare,
care va evid enția im portanța relativă a inform ației cla sificate.
Un sistem de clasific are eficient se b azează pentru niveluri de clasificare def inite
cu m are claritate.
În legea 182/2002 privind protec ția inf ormațiilor clasificate, din R omânia,
informațiile clas ificate d in clasa s ecretelor de stat sunt înc adrate pe trei n iveluri:
18

Cap 2 – Clasificarea inform ațiilor
• strict secrete de im portanță deosebit ă – sunt infor mații a căror d ivulga re
neautorizat ă este de natur ă să producă daune de o gravitate excep țională
securității naționale;
• strict s ecrete – sunt inform ațiile a căror divulgare neautorizat ă este de natur ă să
producă daune grave s ecurității naționale;
• secrete – su nt inform ațiile a căror divulgare neautorizat ă este de natur ă să
producă daune securității naționale ;

Determinarea duratei clasific ării
Guvernele clas ifică informațiile și aplică proceduri de securitate s pecială
docum entelor și materialelo r ce le con țin sau sunt purt ătoare ale acestor inform ații
pentru a preîntâm pina obținerea lo r de către adversa ri, cu intenția de a le folosi
împotriva de ținătorului autor izat. În conse cință, se folose ște m etoda clas ificării
informațiilor pentru a asigura p ăstrarea secretu lui.
În general, infor mațiile, oricâ t ar f i de prețioase, nu pot fi p ăstrate o perioad ă
nelim itată de tim p fără să fie aflate d e advers ari.
Chiar dac ă infor mațiile pot f i păstrate ani m ulți fără a fi aflate de adversari, nu
este, de regul ă, recom andat să se păstreze perioade îndel ungate. Clasificatorii
informațiilor sunt cei ce vor hot ărî dacă este ca zul să se specifice tim pul de păstrare a
informației clas ificate sau să se indice m omentul în care va inte rveni declasif icarea
autom ată. Durata inf ormațiilor clas ificate trebu ie să fie atât de scurt ă cât să nu genereze
costuri fără rost cu păstrarea lo r. Nici duratele prea scurte nu sunt recom andate,
deoarece ad versarii ar intra prea devrem e în posesia lor și ar putea ac ționa pentru
șubrezirea întregu lui sistem de securitate na țională. Deci, d oar clasificatorul trebu ie să
aibă grija sta bilirii dura tei de clasif icare.
Durata c lasificării inf ormațiilor se d etermină prin una din urm ătoarele metode:
• ca perioad ă de tim p măsurată de la data em iterii docum entului;
• în funcție de un evenim ent viitor ce poate s ă apară înaintea op erațiunii d e
declas ificare;
• dacă data, respectiv evenim entul nu pot fi specificate, atunci docum entul
conținând infor mații clasif icate va fi marcat, pentru a se identif ica institu ția
aflată la orig inea lu i, ce v a avea și sarcina dec lasificării.
2.3. Declasifcarea și degradarea informa țiilor clasificate
Atunci cân d se realizeaz ă clasificarea inform ației se au în vedere anum ite
cerințe. Când, din dif erite cauze, se schim bă circum stanțele, fires c, și cerințele
îndeplinite ini țial se m odifică, caz în care inform ațiile c lasificate s e declasifică sau trec
pe un nivel inferior de clasificare.
Declasificarea inform ațiilor se ef ectuează de către reprezen tanți ai guvernului,
cărora le revine m isiunea de declas ificare. Treb uie făcută diferența între declasificarea
informațiilor și declas ificarea docu mentelor sau m aterialelor. Ultim a categor ie poa te fi
efectuată și de către contractorii guvernam entali.
Degradarea inform ațiilor clasificate înseam nă reducerea nive lului c lasificării. În
acest m od, i nformațiile stric secr ete pot f i degradate la niv elul sec ret sau conf idențial.
Inform ațiile secrete pot f i degr adate în informații confiden țiale, iar cele conf idențiale
pot fi declasificate sau, dac ă este cazul, rid icate pe un nivel superior.
19

Securitatea siste melor informatice
Degradarea se efectu ează de către persoanele care au clas ificat ini țial
informațiile, de către succesorii acestora, șefii lor sau s ă către alți oficiali
2.4. Principiile protejării informa țiilor sp eciale
Pentru protejarea informa țiilor speciale se po t defini zece p rincipii:
1. principiul delimit ării autoriz ării – repartiz area informa țiilor pe tipuri va
consta în tr-o grupare ie rarhică plus sum a com partim entărilor în care se reg ăsește
informația. Autorizarea unei persoane presupune stabilirea sferei de exercitate a
funcției și ea const ă din autorizarea pe criteriu l ierarhic al persoanei plus suma
autorizărilor com partim entărilor persoanelor din subordinea sa.
2. principiul s ecurității simple – nici o persoan ă, dintr-o anum ită subordonare, nu
trebu ie să vadă informația unei ca tegorii care d epășește auto rizarea sa.
3. principiul stea – nici o persoan ă nu va scrie ceva pe obiectele dintr-o categorie
inferioară celei la care pe rsoana are acces.
4. primul principiu al integrit ății – nici un p rogram de calculato r nu va accept
informații de la un program inferior lui, pe linia privilegiilor;
5. al doilea p rincipiu al integr ității – nici un program pentru calculator nu va
scrie ceva într-un program superior lui, prin p risma privilegiilor ;
6. principiul etichet ării – fiecare p urtător de infor mații va fi eticheta t cla r cu
catego ria in formațiilor conținute, în for mat accesib il om ului și în f ormat
sesizab il de către echip amentele periferice;
7. principiul clarific ării – nici o persoan ă sau procedur ă nu va schim ba categoriile
existente ale infor mațiilor și nici autoriz ările existente, conform unor pr oceduri
în vigoare;
8. principiul inaccesibilit ății – nici o informație nu va fi l ăsată la dispozi ția alto r
persoane sau procese, cu excep ția celor consemnate prin norm e interne;
9. principiul verificabilit ății – pentru toate activit ățile sem nificative p e linia
securității se vor crea înregistr ări imposibil d e șters, cu ro lul facilitării verificării
sistem ului.
10. principiul încrederii în softw are – cât tim p nici un calcula tor nu poate controla
perfect resp ectarea p rincipiilor ante rioar e, dar, totuși, efectu ează activități utile,
încred erea în software va perm ite apariția uno r excepții de la regulă, dacă este
cazul.

Există patru m oduri de func ționare p rin care sistem ele de prelucrare autom ată a
datelor pot asigura protec ția inf ormațiilor sp eciale:
• modul dedicat – toate inform ațiile preluc rate de sis tem fac par te din aceeași
categorie, iar persoanele sistem ului posed ă autorizație de acces la categoria
respec tivă;
• modul sistem superior – inform ațiile prelucrate de sistem pot să aparțină unor
catego rii diferite, dar to ate pe rsoan ele ang ajate în ac eastă operațiune posed ă
autorizații care să le of ere accesu l la n ivelul cel m ai ridicat al informa țiilor
prelucrate;
• modul controlat – un sistem poate prelucra inform ații din categorii diverse și
persoanele s ă aibă autorizații diferite, iar sistem ul se va baza pe restric ții fizice,
prin care s ă se respecte toate principiile s ecurității inf ormațiilor – opera țiune
destul de dificil ă.
20

Cap 2 – Clasificarea inform ațiilor
• Modul securit ății stratificate – sistem ele prelucreaz ă infor mații aparținând
diverselor categorii, iar personalul, de asem enea, dispune de autoriza ții dif erite.
Conceptul credib ilității com ponentelor inform atice (hardware, software și
firmware – sof tul af lat în m emoria ROM) rezolv ă o astfel de problem ă a
"turnului B abel" al securit ății sistem ului, asigurându- se realizarea tuturor
principiilor enun țate anterior.
2.5. Protejarea mediilor de stocare a informa țiilor
Toate m ediile de s tocare care conțin informa ții obținute în urm a prelucrării
autom ate a datelo r trebuie să fie catalog ate ca docum ente ale prelu crării autom ate a
datelo r. Ace stea pot fi CD-uri , DVD-uri, benzi m agnetice, di skete, hardiscuri, circuite
electronice etc. Regim ul lor de lucr u trebu ie să fie sim ilar docum entelor ce ar con ține
aceleași date în condi țiile prelucr ării tradiționale.
Toate m aterialele in termediare și inf ormațiile obținute în tim pul pr elucrării
autom ate a datelo r treb uie să fie consi derate ca mat eriale auxil iare. Acest ea includ
materiale an ulate (benzi și discuri magnetice, hârtie tip ărită, benzi tu șate etc.) și trebu ie
să fie supuse clasific ărilor în f uncție de inform ațiile c e le conțin.
Ștergerea in formațiilor clasificate este o opera ție de im portanță deosebită.
Persoanele care auto rizează operațiuni de prelucrare automat ă a da telor trebu ie
să veri fice exi stența unei fi șe de securitate, care s ă conțină categoria persoanei
executan te, categoria infor mațiilor pre lucrate și ins trucțiuni privind statutul
informațiilor rezultate. Se vor conse mna, de asem enea, date privind du rata pre lucrării,
timpul de utilizare a co mponentelor bazei de date, genera țiile reținute (fiu, tată, bunic)
astfel încât s ă poată fi reconstituită baza de date în caz de avarii, precum și alte cerin țe
pe lin ia păstrării cop iilor de siguran ță.
2.5.1. Marcarea materialelor cu regim special
Docum entele aflate sub regim special trebuie s ă fie num erotate și înregistrate
pentru a se putea ști ce s-a folosit s au ce s-a v ăzut din ele.
Toate docu mentele ob ținute din prelucrarea autom ată a datelo r (hâr tia d e
imprimantă) trebuie s ă fie m arcate as tfel încât s ă fie vizibil ă categoria din care fac parte,
prin plasarea m arcajulu i în colțul din dreapta sus, precum și în par tea inf erioară a
fiecărei pagini, la care se va ad ăuga și numărul de exem plare al fiec ărui docum ent.
În cazu l prelucrării auto mate a datelor, un ec ran cu inf ormații este tratat ca o
pagină de document, și încadrarea într-o catego rie sau al ta se va face pe o linie dis tinctă
a aces tuia.
Marcarea în cod ma șină trebuie să se efectueze prin c oduri sesizabile de
echipam ente, astfel încât s ă rezu lte foarte clar din ce categ orie fac parte inform ațiile
prelucrate și la ce opera țiuni pot fi supuse. Codul trebuie s ă fie una dintre prim ele
informații ce vor fi date sistem ului, astfel încât s ă nu fie posibil ă accesare alto r date
înain te de a se ști statutul lor. Codul poate fi ultim ul caracter al num elui fișierului, iar
carac terul folosit să aibă valor ile:
• S – special;
• C – confiden țial;
• P – private;
• R – cu restric ții;
• N – neclasificate.
21

Securitatea siste melor informatice
Marcarea fizică se ref eră la toate suporturile supuse prelucr ării au tomate a
datelor. Marcajul trebuie s ă reziste în timp și să nu fie afectat sau s ă afecteze prelucrarea
autom ată a datelo r. Marcarea se poate realiza chiar p e suport sau pe ambalajul care-l
conține. Sup orturile reutilizab ile treb uie să fie marcate cu etichete adeziv e sau creioane
ce pot fi șterse ulterior.
Marcarea s uporturilor de hârtie au m arcajul prin culo ri distincte: orange –
contro l special, roz – co nfidențial, verde – privat, galben – cu restric ții, albe – com une.
Dacă num ai o parte a pachetului con ține informații protejate, tot volumul va c ăpăta
același statut.
Marcarea cutiilor și a carcaselo r este n ecesară atunci când suporturile de
memorare s unt păstrate în astfel de condi ții, care în care se im pune etichetarea clar ă a
acesto ra, precum și scrierea fi șierelor conținute de suporturile din interior.
Marcarea b enzilor magnetice se face cu etich ete lip ite ch iar pe band ă, fără să
afecteze p relucrarea datelor.
Marcarea p achetelo r de discuri se realizeaz ă cu cario ca în m ijlocul ace stora.
Marcarea micro filmelor se face pe prim a im agine cadru sau pe cutie, cu
cario ca.
2.5.2. Păstrarea și distruge rea mediilor de p ăstrare a info rmațiilor
Mediile pe care p ăstrează date supuse prelucr ării autom ate a date lor și cele
auxiliare se p ăstrează în cam ere speciale.
Docum entele ce con țin informații aflate sub un contro l special se păstrează în
seifuri sau în locuri protej ate prin sis teme speciale.
Operațiunea de distrugere trebuie s ă urm eze proceduri sp eciale. Cea m ai bună
cale de distrugere este arderea , folosită, de regul ă, pentru gunoaie inform atice adunate
în pungi speciale. La opera ția de distrugere vor participa dou ă persoane, care vor ține un
registru special de consem nare a m aterialelor ce se distrug. Cenu șa trebuie s ă fie
împrăștiată pentru e liminarea o ricărei posib ilități de reconstituire a datelor distruse.
Transform area în pas tă este posib ilă doar pentru reziduurile din hârtie.
Fărâmițarea se aplic ă pentru hârtie, indigo, band ă magnetică, microfilm e.
Înain tea acestei op erațiuni, în cazul benzil or m agnetice trebuie t ăiată întreaga rol ă.
Procedurile interna ționale prev ăd ca particulele rezultate în u rma acestei opera ții să nu
fie m ai mari de 1/32inch (0,0125mm ). Procedura de f ărâmițare se ap lică, de obicei,
înain tea ard erii.
În cazul m ediilor magnetic e refolos ibile, dacă acestea de refolosesc în aceea și
unitate, noul utilizator trebuie s ă aibă cel puțin aceeași autorizare pe lin ia accesului la
informații ca și precedentul. Dac ă se utiliz ează în afara un ității em itente, vor fi luate
măsuri suplim entare și nu se va declara utilizarea anterioar ă.
2.6. Clasificarea informațiilor organiza țiilor
La nivelul unei organiza ții, informațiile se încad rează pe mai multe categ orii, în
același mod ca și informațiile naționale. Aces te categor ii sun t:
Informații care necesit ă un control special – sunt acele inform ații cunoscute ca
fiind strict secrete . La nivelul organiza ției acestea se num esc speciale, și sunt m arcate
cu S. În această categorie in tră informațiile și materialele a căror dezvăluire ar duce l a
pierderea a 10% din profitul brut anual.
22

Cap 2 – Clasificarea inform ațiilor
Informații confiden țiale la nivel de unitate , notate cu C, și care corespund
informațiilor secre te la nivel na țional. Această încadr are se atribu ie in formațiilor și
materialelor a c ăror comprom itere ar duce p a pierderea unui procent di n profitul anual
net.
Informațiile private , notate cu P, cuprind inf ormațiile și materialele a c ăror
compromitere poate prejudici a statutul unei persoane di n unitate sau al corpora ției.
Informații de uz intern , notate cu R, nu fac parte din catego riile an terioare, da r
prezin tă restri cții în utilizare.
Informații publice , sau infor mații neclas ificate, s un notate cu N.

La nivel guvernam ental, orice inform ație neîn cadra tă într-una din categoriile
speciale, su b incidența legii ac cesului libe r la in formațiile p ublice, poate fi publicat ă de
orice organ de pres ă scrisă, video sau audio, sub m otivația că "tot ceea ce nu este
interzis este perm is".
La nivelul organiza țiilor private, lucrurile stau invers, doar infor mațiile c are sunt
specificate "pentru pub lic" pot fi f ăcute publice, mergându-se pe principiul "tot ceea ce
nu este pe rmis este in terzis".
Un tratam ent special îl au inform ațiile solicitate de orga nism ele guvernam ental e
de la unitățile priva te.
2.6.1. Criterii de clasificare a informa țiilor la nivelul organiza țiilor
Valoarea – constitu ie criteriu l prin cipal de c lasificare. Dacă o informa ție es te
valoroasă pentru o organiza ție sau pentru concuren ții ei, atunci ea trebu ie să fie
clasificată.
Vârsta – conduce la s tabilirea unei valori diferen țiale. Cu cât vechim ea este m ai
mare, cu atât inform ațiile pierd din valoare. De regul ă, în dom eniul apărării, inf ormațiile
clasificate s e declasific ă după un anum it număr de ani.
Uzura moral ă – ca și la m ijloace le fixe, atunci când inf ormațiile sunt înlocu ite
de altele noi, sau când în organiza ție s-au produs m odificări radicale, vechea clas ificare
devine perim ată și va f i înlocu ită cu alta.
Asocierea cu persoanele – are influ ență în procesul de clas ificare în funcție de
importanța persoanelor care reglem entează regimul datelor personale.
2.6.2. Proceduri de clasificare a informa țiilor
În procesul de clas ificare, trebuie urmăriți anumiți pași, după o anum ită ordine
de prior itate, astfel:
• identificarea adm inistratorului/cus todelui;
• specif icarea criter iilor după care vo r fi clasificate și etiche tate inf ormațiile;
• clasificarea datelor du pă proprietar, care devi ne subiect supus audit ării
efectuate de un superior;
• precizarea și docum entarea oric ăror excepții de la politicile de securita te;
• precizarea controalelo r aplicate fiec ărui niv el de clas ificare ;
• specificarea procedu rilor de declasificare a inform ațiilor sau pentru
transferarea custodiei unei alte en tități;
• crearea unu i program de conștientizare la nivel de organiza ție despre
controalele pe lin ia clasific ării inf ormațiilor.
23

Securitatea siste melor informatice
2.6.3. Roluri și responsabilit ăți în procesul de clasificare a informa țiilor
Princip alele roluri în pr ocesul de c lasificare le au proprietarul, utilizatorul sau
custode le da telor clasificate.
Proprietaru l informa țiilor poate fi adm inistratorul sau directorul unei
organizații. O astfel de persoan ă răspunde de averile informa ționale încredințate. Spr e
deosebire de custode, proprietaru l are responsabilitatea f inală a protec ției da telor și
răspunde în fa ța leg ii în cazul neach itării de această obligație. Cu toate a cestea, tend ința
actuală este de deplasare în afara unit ății, de extern alizare, pr in semnarea actelo r de
custodie.
Printr e resp onsabilitățile unui proprietar se afl ă:
• întreprinde dem ersuri pentru stabilir ea nivelulu i de clasificare a inform ațiilor,
care înseam nă, de fapt, cerin țele org anizației de prote jare a a cestor a;
• efectueaz ă verificări periodice ale clasific ărilor existen te, în vederea ada ptării la
cerințele org anizației;
• delegă resp onsabilita tea protejării datelo r către un custode specializat și
autorizat.

Custodele informa țiilor este cel care pres tează un se rviciu exter nalizat
organizației, delegându-i-se responsabilit ățile pe linia protej ării inf ormațiilor. Aces t rol
este înd eplinit de spe cialiști în teh nologii inf ormaționale. Dintre obliga țiile a cestu ia,
amintim :
• efectueaz ă copii de siguran ță periodice și teste de rutină a validității datelor;
• efectueaz ă restaurări de dare din copiile de siguran ță, când este cazul;
• întreține da tele înreg istrate, în c oncordanță cu politic ile de c lasificare a
informațiilor.
De m ulte ori, custodele are și obligația alcătuirii s chemei de clasif icare a
informațiilor, preluând a ceste p rerogative d e la proprie tarul lor.
Utiliz atorul . Un utiliza tor final este consider at orice pe rsoană, operator, angajat,
persoană din afară, care fol osește informațiile. El este cons idera t consu mator de date
care are nev oie, zilnic, să acces eze infor mații pentru a- și duce la îndeplinire ob ligațiile
de serviciu ce îi revin.
Obligațiile u tiliza torilor sunt:
• de a urm a întocm ai procedurile de func ționare, d efinite p rin po liticile de
securitate ale organiza ției, și să respecte normele publicate privind utilizarea
informațiilor;
• să acorde to ată atenția menținerii inf ormațiilor în tim pul activit ății prestate, dup ă
cum se stip ulează în po liticile d e utilizare a inf ormațiilor e mise de organiza ția
proprietar ă. Ei trebu ie să asigu re protejarea împotriv a accesului neautorizat la
informațiile clas ificate ;
• să foloseasc ă resurs ele inform aționale ale firmei num ai în scopul urm ărit de
aceas ta, nu și în scop personal.

24

3. Controlul accesului în sistemele informatice
3.1. Tipuri de control al accesului în sistem
Controlul accesulu i în sistem este implem entat pentru redu cerea risculu i la care
sunt supuse sistem ele și pentru reducerea ev entualelor pierderi. Controlul poate fi
preventiv, detectiv sau corectiv.
Controlul p reventiv are ca scop preîntâmpinarea apari ției unor incidente în
sistem . Controlul de tectiv presupune descoperirea unor apari ții ciudate în sistem , iar
controlul c orectiv este folosit pe ntru readu cerea la no rmalitate a sistem ului după
anum ite incidente la care a fost expus.
Pentru a p utea fi atin se obiectivele e numerate m ai sus, controalele pot fi
administrative, logice sau tehnice și fizice.
Controlul a dminis trativ este exer citat pr in politici și proceduri, instruire cu scop
de conștientizare, verific ări generale, verific ări la locul de munc ă, verificarea pe tim pul
concediilor și o supraveghere exigent ă.
Controlul logic sau tehnic cuprinde restric ții la accesarea sistem ului și măsuri
prin care se asigur ă protecția informa țiilor. Din aceas tă categorie fac p arte sistemele de
criptare, cardurile de acces, lis tele de contro l al accesulu i și protocoalele de transm isie.
Controlul f izic este reprezen tat d e gărzile de paz ă și protecție, securitatea
clădirilor: s istem e de încuiere a u șilor, secu rizarea cam erelor cu servere, p rotecția
cablurilo r, separarea atribu țiilor de serviciu, și nu în ultim ul rând re aliza rea cop iilor de
siguranță a fișierelor.
Controalele vizeaz ă responsabilizarea pers oanelor care acceseaz ă informații
sensibile. Responsabilizarea este înf ăptuită prin mecanism e de control al accesului care
necesită, la rândul lor, exercitarea func țiilor de identif icare, auten tificare și auditare.
Controalele trebu ie să fie în deplin ă concordan ță cu politica de securitate a organiza ției,
iar pro cedurile de asigu rare au scopul de a dem onstra că prin mecanism ele de control se
implem entează corect p oliticile d e securitate pentru întregul ciclu de via ță aș sistem ului
informațional.
3.1.1. Modele de control al accesului
Controlul accesului de c ătre un subiect asupra unui obiect presupune stabilirea
unor regu li de acces. Aceste regu li pot fi clasificate în trei catego rii sau m odele:
contro lul o bligatoriu al accesului, controlul discre ționar al accesului și con trolul
nediscreționar al accesu lui.

Controlul o bligator iu al acc esului – în acest caz, au torizarea accesului unui
subiect la un obiect depinde de etichetă, care va specifica nivelu l de autorizare al
subiec tului precum și clasif icarea sa u senzitivita tea obi ectului. Controlul bazat pe reguli
de acces es te un tip aparte de control obligatoriu al accesu lui, pentru c ă el este pos ibil
doar pe baz ă de reguli și nu doar pe baza identit ății subiecților și obiectelor. (un subiect
trebu ie să aibă și drep tul să acceseze un obiect an ume).

Controlul d iscreționar al accesului – în acest caz sub iectul are au toritatea în
cadrul unor lim ite bine stabilite, s ă specifice ob iectele care pot fi accesibile. Se poate
25

Securitatea siste melor informatice
folosi o lis tă de contro l al accesulu i al sub iecților la ob iect. Aces t tip de acces este
folosit în s ituații locale, dinam ice, în care se las ă la discre ția sub iecților speci ficarea
tipurilor de resurse perm ise utilizatorilor s ă le acceseze.
Când un utilizato r, în condi ții bine s pecificate, are dreptu l să modifice controlu l
accesu lui pentru anum ite obiecte, se spun ă că avem un "control discre ționar al acces ului
direcționat către utilizator". Un contro l bazat pe identita te este un alt tip de control
discreționar al accesulu i care s e bazează pe identitatea unei persoane.
Controlul nediscre ționar al accesu lui – o autor itate cen trală stabilește subiecții
care pot s ă aibă acces la anum ite obiecte, în func ție de politic a de securitate
organizațională. Contro lul accesu lui poate s ă se bazeze pe rolul individual într-o
organizație (contro l bazat pe sarcin i). Acest tip de control nu necesită schim bări atunci
când un rol va fi jucat de o alt ă persoană.
3.1.2. Forme combinate de control
Prin com binarea con trolului prev entiv și dete ctiv cu m ijloacele ce lorlalte tipu ri
de control – adm inistrativ, tehnic (logic) și fizic – se ob țin următoarele com binații:
ƒ preventiv – adm inistrativ; Control preventiv ƒ preventiv – tehnic;
ƒ preventiv – fizic:
o detec tiv-
administrativ; Administrativ Tehnic Fizic
o detec tiv-tehnic;
ƒ detectiv – fizic.

În figura 3.1 se prezint ă
schem atic aceste p erechi.

Controlul preventiv – a dministrativ
În acest caz accen tul se pune pe m ecanism ele software care con tribuie la
atingerea o biectivelo r contro lului accesu lui. Aceste m ecanism e cuprind politicile și
procedurile organiza ționale, verific ările de fond înainte de angajare, practicile de
încetare a contractului de m uncă în condiții norm ale și anorm ale, planificarea p lecărilor
în concediu, etichetarea sau m arcarea m aterialelor speciale, supravegherea m ai exigentă,
cursuri de instru ire în scopul con știentizării im portanței securit ății, conștientizarea
modului de com portare precum și procedurile de sem nare a contractului în vederea
obținerii acc esului la s istem ul inf ormațional și la rețea.

Controlul preventiv – tehnic
Acest tip de contro l vizează utilizarea tehnologiilor pentru consolidarea
politicilor d e control al accesulu i. Controlul tehnic se m ai num ește și contro l log ic și
poate f i realizat prin sist emele de operare, prin aplica ții sau printr-o com ponentă
suplim entară hard/soft. Dintre aceste controale, fac parte: protocoa lele, c riptarea,
cardurile d e acces in teligente, b iometria, pachetele so ftware pentru rea lizarea
controlului local sau de la distan ță, parolele, m eniurile , softul de scanare a viru șilor etc.
Protocoalele, criptarea și cardurile intelig ente s unt m ecanism e tehnice de
protejare a infor mațiilor și parolelor împotriva ev entualelor deconspir ări.
Control detectiv
Fig.3.1: Combinarea form elor de control
26

Cap. 3 – Controlul acces ului î n sistem ele inform atice
Biom etria apeleaz ă la tehnologii precum amprenta digital ă, a retinei, irisului
pentru au tentificarea so licitanților de accesare a resurselo r sistem ului.
Pachetele s oftware ce realizeaz ă controlul accesului gestioneaz ă accesul la
resurs ele ce dețin inf ormații aflate pe plan local sau la distan ță.
Controlul preventiv – fiz ic
Aceste m ăsuri de control sunt de tip intu itiv. Ele vize ază restricționarea
accesu lui fizic în zonele ce con țin inf ormații sens ibile ale s istem ului. Zonele respectiv e
sunt definite printr-un a șa zis perim etru de securitate, aflat sub contro lul ac cesulu i.
În aceas tă categor ie intră împrejmuirile cu gard, ecusoane le, ușile m ultiple (dup ă
trecerea printr-o u șă, aceasta se b lochează auto mat, iar la u rmătoarea trebuie cuno scut
sistem ul de deschidere, persoana fiind captiv ă între dou ă uși – uși capcană), sis teme de
intrare p e bază de cartel ă magnetică, aparatura biom etrică pentru identif icare, serviciul
de pază, sistem e de contro l al m ediului, schi ța clădirii și a căilor de acces, locu rile
specia l amenajate pentr u depozitare a mediilor d e stoca re a d atelor.
Controlul o biectiv – adminis trativ
În parte, acest tip de control se suprapune peste controlul preventiv-
administrativ, pentru c ă aces tea p ot fi exercitate cu s copul prev enirii posib ilelor
încălcări ale politic ilor de secur itate sau pen tru detectarea celor în cu rs. Din aceast ă
catego rie fac parte p rocedurile și politicile de securitate, verific ările de fond,
planificarea plec ărilor în concediu, marcarea s au etichetarea docum entelor speciale,
instru iri și cursuri, reviz uirea înreg istrărilor cu scop de auditare.
Controlul detec tiv – f izic
Acest tip d e control u rmărește ev idențierea viol ării po liticii de sec uritate
folosind m ijloacele tehn ice. Aceste m ăsuri se refer ă la sistem ele de detectare a intru șilor
și la rapo artele priv ind violările s ecurității, generate au tomat pe ba za inf ormațiilor
colectate. R apoartele po t evidenția abaterile de la f uncționarea norm ală sau să detecteze
semnături cunoscute al unor episoade de acces neautorizat. Datorit ă importan ței lor,
informațiile f olosite în a udita re treb uie să fie proteja te la ce l mai înalt n ivel po sibil din
sistem .
Controlul detec tiv – f izic
Acest tip de contro l nece sită intervenția om ului pentru evaluarea param etrilor pe
care îi ofer ă senzorii sau cam erele video pentru a stabili dac ă există un pericol real
pentru s istem. În acest caz, controlul se exercit ă prin cam ere video, de tectoa re termice,
de fum și de m ișcare.
3.2. Identificarea și autentificare
În orice sistem de bariere fizice, sis temul de securitate treb uie să discearnă care
sunt persoanele autorizate , care sunt vizitatori și care su nt categoriile neautorizate.
Autentif icarea poate f i realiza tă de corpul de paz ă, de alte persoane care se ocup ă de
contro larea accesu lui sau de si stem e autom ate specializate.
Identificarea și autentif icarea pe rsoanelor se efectueaz ă în patru m oduri:
ƒ ceva aflat în posesia p ersoanei – chei, cartele m agneti ce, cartele speciale,
echipam ente de identificare personal ă și jetoane. Acestea pe rmit un prim pas
de accesare a sis temului și există marele per icol al pierderii lor sau de
înstrăinare spre utilizarea de c ătre alte persoane.
ƒ ceva care individualiz ează persoana – aceas tă me todă presupune
identificarea biom etrică, care poate fi dat ă de: amprenta dig itală, a buzelor,
semnătura, vocea, forma m âinii, imagin ea retin ei, ven ele de pe fa ța externă a
27

Securitatea siste melor informatice
mâinii, liniile din palm ă, imaginea feței etc. Toate aceste teh nici sun t foarte
scum pe, în com parație cu cele clasice, și deseori sunt incom ode sau
neplăcute la utiliza re.
ƒ ceva ce persoana știe – o parol ă, doar că aceas ta se află la d iscreția
oamenilor și securitatea sistem ului depinde de modul de p ăstrare a secretului
ei sau de u șurința cu care poate fi aflat ă.
ƒ locul geografic – unde este înregist rat calculatorul.

Metodele de contro l al accesulu i trebuie s ă se b azeze p e cel puțin două din cele
patru enumerate m ai sus, de cele mai multe ori s e apelează la combina țiile cartel ă-
parolă, cheie-paro lă, jeton-parol ă. În ultim ul timp se recom andă să se foloseasc ă și un al
treilea elem ente – cel biom etric.
3.2.1. Principiile de bază ale controlului accesului
Ca principiu general, simpla posesie a unui element de control al accesului nu
trebuie s ă constitu ie și proba accesului privilegiat la inf ormațiile importante ale
firmei, întrucât el poate fi dobândit și pe căi ilegale dau poate fi contraf ăcut.
Un al doilea princip iu arată că atunci când valorile patrimoniale sunt deosebit
de importante și mecanismul de protec ție trebuie s ă fie pe măsură, iar persoanele cu
drept de acces s ă fie cât m ai puține.
Al treilea principiu, de regul ă aplicat inform ațiilor secrete, este ace la că nici
unei persoane nu trebuie s ă i se garanteze accesul permanent, gestiunea sau
cunoașterea informa țiilor secrete numai pe motivul po ziției ierarhice pe care o
deține.
Fiecare centru de prelucrare au tomată a datelor cu m ai mult de 25 de a ngajați
trebu ie să apeleze la s istemul ecusoan elor și la bio metrie, ca m ăsuri suplim entar e față de
protecțiile realizate p rin alte metode privind accesul în cl ădire.
Locurile care nu dispun de u și ce pot f i încuiate trebu ie să aibă intrările
supravegheate, iar o persoan ă să răspundă de aceast ă operațiune. Cu acela și scop, poate
fu utiliza tă și televiziunea cu circuit închis, cu condi ția ca o persoan ă să nu
supravegheze m ai mult de trei m onitoare.

Controlul a ccesului prin obiecte
Una din m etodele folosite pentru accesul în cl ădiri sau s ăli este utilizarea unei
cartele de plastic sau a unui jeton, care ofer ă informații despre pu rtător, cum ar fi:
numele, adresa, codul cardul ui, contul bancar, infor mații medica le, dr epturi d e acces.
Toate aces te inform ații pot fi codificate prin coduri de bar ă, peliculă magnetică,
microproces or. Unele carduri con țin și fotograf ia titu larului.
Există și carduri in teligente care s e utilizeaz ă pentru criptarea și decriptarea
datelo r, se mnarea m esajelor și introducerea de pl ăți electronice. Aceste carduri
contro lează accesu l în clădire, la locurile de parcare, în s ăli, la calcu lator și la alte date
personale ale de ținătorului.

Se m ai pot f olosi și ecus oane active, care realizeaz ă iden tificarea pr in frecvențe
radio, sau prun infraro șu, putându-se citi cartele de la câ țiva m etri.
Majoritatea cartelelor sunt auto-exprinate, cu ajut orul unor tehnologii term ice
sau a unor vopsele speciale.

28

Cap. 3 – Controlul acces ului î n sistem ele inform atice
Controlul a ccesului prin biometrie
Princip alele elem ente ale corpu lui um an care se folosesc pentru id entificarea
individului sunt: recunoa șterea feței, am prenta digital ă, recunoa șterea irisu lui și
recunoașterea formei mâinii.
În tabelul 3.1 se prezint ă o com parație a celor patru tehnologii biom etrice func ție
de perform anțe și costu ri.

Tabelul 3. 1
Compararea principalelor tehnologii biometric e
Caracteri stici Recunoașterea
feței Ampr enta
digitală Recunoașterea
irisului Forma mâinii
Rata respingerilor eronate 3,3÷70% 0,2÷36% 1,9÷6% 0÷5%
Rata a cceptărilor eronate 0,3÷5% 0÷8% < 1% 0÷2,1%
Timpul pentru o verificare 10 sec 9÷19 sec 12 sec 6÷10 sec
Mărimea probei culese 84÷1300 KB 250÷1000 K B 512 B ytes 9 Bytes
Prețul echipamentelor Moderat Mic Mare Moderat
Factorii care afecte ază
probele luate Lum ina,
orientarea fe ței,
ochelarii Murdăria,
degetele
deshidratate sau
accidentele Vedere a sla bă,
încruntarea,
reflexia Răni, artrit ă,
umflături

Controlul a ccesului prin parole
Parolele sun t utilizate pentru a perm ite accesul la un calculator, fie ca utilizator,
fie sub form a grupurilor de utilizatori, fie ca personal al sistem ului de prelucrare
autom ată a datelo r. După identif icarea perso anei și eventual oferirea unei cartele de
acces, u tilizatoru l prezintă sistem ului parola proprie, fie pr in tastarea la un term inal f ie
prin introducerea une i cartele care con ține parola. Calculatorul com pară parola
introdusă cu o listă aprobată și îi p ermite sau n u utilizatoru lui accesu l și îi garanteaz ă
respec tarea dreptur ilor definite la an umite re surse ale s istemului, dr epturi care pot fi:
ƒ execuție – poate lansa în execu ție un program , dar nu i se perm ite să umble la
configurarea acestu ia, prin ad ăugare a sau m odificarea uno r linii;
ƒ citire – poate citi un fi șier dar nu m ai poate realiza nici o alt ă operație;
ƒ scriere – se pot scrie date în acel fi șier, dar fără alte drepturi;
ƒ citire -scriere – se poate c iti fișierul și se poate s crie în el;
ƒ adăugare – se pot doar ad ăuga date la fi șier, nu se pot m odifi ca datele introduse
și nici citi;
ƒ ștergere – d ă dreptul de a șterge d ate din f ișier.
Oricât d e complex ar fi s istemul cu p arole, el nu realizeaz ă și o secur itate sigură,
ea depinzând de m odul de păstrare a integ rității parole i.
Problem a principal ă a parolelor es te alegerea nejudicioas ă a acestora de c ătre
utiliza torii lor, și anum e: num ele unor eroi din film e sau bas me, al soției, a soțului sau a
copiilor, num ărul de înm atriculare etc., to ate vulnerab ile în f ața unor sp ărgători
calificați. O altă greșeală majoră este notarea parolelor d e team a de a n u fi uitate, și
lăsarea acestor noti țe la v edere, astfel încât o rice p oate vedea p arola.
Parole le trebuie să fie eliberate doar persoanelor autorizate și nu trebuie s ă fie un
proces generalizat dându- se tutu ror celor care de țin funcții de conducere în firm ă; ele
trebu ie date doar celor care lu crează cu datele protejate.
Parole le po t fi create și de utiliza tori pen tru datele mai puțin im portante, dar
există unele problem e des întâlnite, și anum e:
29

Securitatea siste melor informatice
ƒ utiliza torii n u-și sch imbă periodic parolele, iar dac ă o fac nu aduc m odifi cări
importante în structura lor;
ƒ utiliza torii își păstrează parolele scrie pe suporturi l ăsate în văzul tutu ror;
ƒ utilizatorii folosesc num e asocie ri num e-cuvinte cunoscute (num e de
persoane d ragi) ceea ce le face extrem de vulnerabile.
Dintre cuv intele u tilizate în m od eronat de utilizatori drept parol ă amintim :
PASSW ORD, PAROLA , SECRET , SMART , CLEVER , DUMM Y, CRAZY, sau chiar GHICI .
Deoarece parolele sunt n iște ch ei de acces la valorile proprii, trebuie protejate cu
grijă, și treb uie resp ectate câtev a reg uli de bază la alegerea lo r:
ƒ parolele trebuie schim bate cel pu țin odată la șase luni, iar pentru datele
deosebit de importante și mai des;
ƒ parole le co mune (utiliz ate de mai mulți) trebu ie sch imbate im ediat ce o
persoană părăsește grupul sau i s e retrage drep tul utilizării ei;
ƒ parolele s e vor schim ba im ediat ce apare b ănuiala cunoa șterii ei de c ătre
persane n eautorizate sau dac ă din m otive de for ță majoră secretul lor a
trebu it dezvăluit pentru redresarea unei st ări ano rmale tem porare ;
ƒ parole le tre buie să fie me morat e și nu s crise pe o rice, cu excep ția
următoarelo r cazu ri:
o vor fi scrise pentru situa ții de urgen ță;
o fiecare paro lă scrisă va fi introdus ă într-un plic sig ilat și marcat în
exter ior cu s curte de talii privind calculato rul la care poate f i folosită
și num ele celor au torizați a le f olosi;
o plicu l respectiv are tratam ent asem ănător averilor protejate sau al
catego riilor de inf ormații acces ate prin p arolă. După ruperea
sigiliului, pe plic vor fi trecute data și num ele celo r care au făcut-o;
o plicu rile cu parole se păstrează de către responsabilul cu securitatea
sistem ului și seif.
ƒ dacă parolele duplicat se p ăstrează prin inte rmediul calcula torului, as tfel de
fișiere trebu ie să fie protejate îm potriva accesului neautorizat și create copii
de siguran ță. Accesul la acest fi șier trebuie s ă fie înlesnit doar persoanelor
autorizate, respectându-se principiul "niciodat ă singur". L istele cu parole vor
fi memorate sub formă cripta tă;
ƒ parolele nu vor fi afi șate niciod ată pe echipam entele din configura ția
sistem ului, iar la introd ucerea lor n u trebu ie să se afle persoane str ăine în
preajmă;
ƒ parolele, în cele m ai multe cazu ri, au cel p uțin opt caractere. Ele sunt
caractere alfa num erice, folosite în ordine aleatoare, ceea ce ar însemna
câteva m ii de cuvinte de opt sau m ai puține caracte re, care pot fi tes tate cu
ajutorul calculator ului, în doar câteva m inute, deci su nt suficient de
vulnerabile pentru sp ărgătorii profesioni ști;
ƒ pentru blocarea opera țiunilor de încercare repetat ă, de ordinul m iilor,
calcu latoarele trebuie s ă perm ită un număr lim itat de încerc ări de introducere
a parolelor, de obicei trei. Dac ă limita este dep ășită de utilizator, inten ția este
raportată conducătorului sistem ului sau respon sabilu lui cu securitatea. În
acest tim p trebuie s ă se blocheze term inalul d e la care s-au efectuat prea
multe înce rcări ne reușite. În cazu l sistem elor speciale se recom andă și
blocarea s ălii sau a loc ului de und e s-a înce rcat pătrunderea în sistem prin
parole eronate repetate, pentru identificarea pers oanei respective.
30

Cap. 3 – Controlul acces ului î n sistem ele inform atice
ƒ odată pătruns în sis tem, utiliz atorului nu trebuie s ă i se pe rmită să-și schimbe
identitatea cu care a deschis sesiun ea și nici să nu poată pătrunde în parti țiile
aloca te altor utiliza tori;
ƒ dacă un term ina funcționează o perioad ă lungă de timp, procesul de
autentificare trebu ie să aibă loc la inte rvale regulat e de timp pentru a se
asigura că nu fol osește altcineva sis temul. Dacă term inalul rămâne neutilizat
dar deschis, el trebuie s ă se înch idă automat după un anum it interval de timp
(10 m inute);
ƒ la deschiderea unei noi sesiuni de lucru, utilizatorului trebuie s ă i se adu că la
cunoștință ultimul tim p de accesa re a sistem ului cu parola re spectivă, pentru
a verifica dac ă altcinev a a folosit-o în tre tim p.

Pentru preîntâm pinarea unor aspecte vulnerabile din sistem ul de protec ție pr in
parole, se recom andă aplecarea la un sistem special sau la o dovad ă de recunoa ștere a
utiliza torulu i. Acestea p ot fi: o cheie de descuiere a consolei, o cartel ă magnetică cu
microprocesor. Costul foarte ridicat , reduce u tilizarea acestu i sistem .

Accesului în sistem prin controlul poz iției geo grafic e
Autentif icarea pe b ază de localizare geografic ă este o m etodă de au tentif icare a
entităților din spa țiul cibernetic ba zată pe localizarea geod ezică (latitudine, longitudine
și altitud ine a unui loc g eografic bin e definit). A cest lu cru v a avea ca ef ect delim itarea
porțiunii din spațiu cibernetic de unde se declan șează un anu mit evenim ent.
Această autentificare se face pe baza sis temului GPS și a unui senzor SSL
(senzor al s emnăturii loc ale) af lat în posesia u tilizatoru lui.
Caracte risticile principale ale au tentif icării geodezice sunt:
• asigură o protecție con tinuă împotriva celor r ău intenționați aflați la dis tanță;
• semnătura locației poa te fi folosită ca un m ijloc com un de autentif icare ;
• prin cunoa șterea pozi ție unui utilizator, se poate identifica u șor un intrus, dar se
pot oferi și probe c ă o persoan ă nu a fost în locația re spectivă în mom entul
săvârșirii unei infrac țiuni.

O asem enea protec ție este recom andată site-urilor fixe.
Ca dezavantaj al auten tificării geodezice se m enționează:
• refuzul se rviciului (acc esului la s istem ) în cazul bru ierii sem nalului sau al
furtului senzorului;
• ușurința în localizarea unei persoane în caz de r ăzboi inform ațional, de aici
rezultă că accesul la datele geodezice trebuie s ă fie restric ționat.

31

4. Criptografia
4.1. Defini ții și noțiuni de baz ă
Scopul criptografiei este de a proteja infor mațiile transm ise fără să poată fi citite
și înțelese decât de c ătre persoanele c ărora le sunt adresate. Teoretic, persoanele
neautor izate le pot citi, îns ă practic, citirea u nei com unicații cr iptate este doa r o
problemă de tim p – egal cu tim pul aferent neces ar persoanei neautorizate de a decripta
mesajul citit.
Algoritmul criptogra fic este o procedur ă pas-cu-pas u tilizată pentru cifrarea
unui text clar și descifrarea tex telor cifrate.
Cheia sau variabila de crip tare este o inf ormație sau o secvență prin care se
contro lează cifrarea și descifrarea mesaju lui.
Cifrarea este o transform are criptog rafică a unor caractere sau bi ți.
Criptograma sau textul cifrat reprezintă un m esaj neinteligibil
Cifrul bloc se obține prin separarea textului ini țial în blocuri de câte n caractere
fiecare (bi ți) și aplicarea unui algoritm și a unei c hei iden tice, k, pentru fiecare b loc.
Codurile sunt o transform are care opereaz ă la nivelul cuvintelor sau frazelor.
Criptanaliza este ac tul obținerii tex tului c lar sau a ch eii din textul cifrat, care
este f olosit pentru obținerea inf ormațiilor nece sare aces tui sco p.
Criptarea înseam nă realizar ea formei ne inteligibile a unu i mesaj pentru a nu f i
utilizat de persoanele neautorizate s ă-l acceseze.
Criptarea e nd-to-end – în acest caz inform ațiile crip tate sunt transmise din
punctul de origine la destina ția finală.
Cheie sim etrică – atât expedito rul c ât și des tinataru l foloses c aceeași cheie de
criptare.
Cheie asim etrică – expeditorul și destina tarul folosesc che i de criptare diferite.
Criptarea înl ănțuită – mesajul circ ulă prin m ai multe noduri între expeditor și
destinatar. Un nod interm ediar prim ește mesajul, îl decr iptează cu aceeași cheie cu care
a fost cripta, îl re criptează cu o altă cheie și îl trim ite la urm ătorul nod unde procesul se
repetă până când m esajul ajunge la destinatar.
Criptografia este arta și știința ascunderii sem nificației unei comunic ări
împotriva unor intercept ări neautorizate. Cuvânt ul vine din limba greac ă, care îns eamnă
criere as cunsă: kryptos graphein .
Criptolog ia reunește criptografia și crip tanaliza.
Decriptarea este pro cesul pr in care un tex t cifrat este tran sformat într -un mesaj
inteligibil.
Sistemu l de criptar e este un set de transform ări din spa țiul mesajului clar la ce l
al tex tului cifrat.
Steganografia este o f ormă de com unicare secret ă prin care se încearc ă
ascunderea m esajului secret într-o im agine digital ă.
Textul clar este form a inteligibil ă de prezentare a unui m esaj, astfel încât el s ă
fie acces ibil oricu i.

32

Cap. 4 – Criptografia
4.1.1. Tehnici utiliz ate în criptografie
În prezen t există două tipuri pr incipale de te hnici utiliza te în cr iptografie, și
anum e:
• criptografia prin cheie s imetrice (chei secrete sau chei private) și,
• criptografia prin chei asim etrice (chei publice).

În cazu l cheii sim etrice, atât expeditorul cât și destinatarul mesajului f olosesc o
cheie com ună secretă. În cazul cheii as imetrice, expeditorul și des tinatarul foloses c în
comun o che ie publică și, individual, cât e o ch eie privat ă.
4.1.1.1. Substituția
Cea m ai simplă metodă de c riptare, prin subs tituție, este cunoscut ă în zilele
noastre sub denum irea de cifrul lui Cezar , după num ele îm păratului rom an care a
inventat-o. În acest cifr u, caracterele m esajului și numărul de repeti ții ale cheii s unt
însum ate laolaltă, modulo 26. În adunarea m odulo 26, lite relor alfabetu lui latin, de la A
la Z, li se dau valori de la 0 la 25 (vezi tabelul 4.1). Pentru cheie trebuie s ă se ofere d oi
param etri:
• D – numărul literelor ce se repet ă, reprezen tând chei;
• K – cu rol d e cheie.

Tabelul 4.1
Coresponde nța litere-numer e
Litera A B C D E F G H I JKLMNOPQRSTU V W X Y Z
Număr 0 1 2 3 4 5 6 7 8 91011121314151617181920 21 22 23 2425

Pentru a în țelege m odul de func ționare, să presupunem c ă D=3 și K = BEC, iar
mesajul secr et este "PA ROLA MEA". Atribuin d valori nu merice m esajului, din ta belul
valor ii lite relor, avem :
P A R O L A M E A
15 0 17 14 11 0 12 4 0
Valorile nu merice ale c heii sun t:
B E C = 1 4 2

După aceste coresponden țe, cheia criptat ă 142 se adaug ă literelor mesajulu i,
astfel:
Cheia reperat ă 1 4 2 1 4 2 1 4 2
Mesajul 15 0 17 14 11 0 12 4 0
Echivalentul num eric
al textului cri ptat 16 4 19 15 15 2 13 8 2
Textul criptat Q E T P P C N I C

Convertirea num erelor în litere le aferente alfab etului condu ce la textul crip tat,
așa cum se vede m ai sus: "QETPPC NIC"
În cazul cifrului lui Cezar, D = 1 și cheia este D (3), adic ă fiecare liter ă este
înlocu ită de a tre ia lite ră de după ea din alfabet – literele sunt deplasate la dreapta cu trei
poziții, (A cu D, B cu E ș.a.m.d.). Criptând m esajul dat în ex emplul anterior cu cifrul lui
Cezar, ob ținem:

33

Securitatea siste melor informatice
Cheia reperat ă 3 3 3 3 3 3 3 3 3
Mesajul 15 0 17 14 11 0 12 4 0
Echivalentul num eric
al textului cri ptat 18 3 20 17 14 3 15 7 3
Textul criptat S D U R O D P H D

Dacă sum ele valo rilor c heii și ale nu mărului af erent lite relor sunt m ai mari sau
egale cu 26, se determ ină modulo 26 din sum ă, adică rezu ltatul final es te obținut prin
scăderea din sum ă a numărului 26.
Exem plu:
D=3, K=PIC, m esajul e ste SECRET, rezultatu l va fi:
– valor ile nu merice atrib uie mesajulu i:
S E C R E T
18 4 2 17 4 19
– valorile num erice ale cheii sunt: P I C = 15 8 2

Cheia reperat ă 15 8 2 15 8 2
Mesajul 18 4 2 17 4 19
Echivalentul num eric
al textului cri ptat 33
(8) 12 4 32
(9) 12 21
Textul criptat I M E J M V

Valorile 32 și 33 nu au echivalent în alfabetu l latin, caz în care se calculeaz ă
modulo 26 din 32 și 33, rezultând valorile 8 și 9, iar noul echivalent num eric al textului
criptate este 8 12 4 9 12 21, iar textul criptat este: IMEJMV.
Cifrurile de m ai sus pot fi descrise prin ecua ția general ă:
C = (M + b)mod N
unde:
b = un num ăr întreg fix;
N = numărul liter elor din alfabet (26 pentru a lfabetul latin);
M = m esajul textului clar în form a num erică;
C = textul cr iptat scris în forma num erică.

Cifrul lui Cezar, baz ându-se pe subs tituția simplă sau m onoalfabetic ă este ușor
de spart, pentru c ă un c aracter este înlocuit de altul și această schim bare este valabil ă în
tot tex tul, ia r analiza f recvențelor de apari ție a literelor din textel e scrise ne va conduce
la caracterele adev ărate ale textului.
Cifrurile po limorfice sunt rea lizate prin apelarea la cifru ri bazate p e substituția
multiplă. De exem plu, dacă se folosesc trei alf abete pentru substitu ție, definite de cel ce
intenționează să crip teze, prim a lite ră din textul clar este înlocuit ă cu p rima literă din
prim ul alfabet, a doua liter ă a textu lui clar este înlocu ită cu prim a literă din al doilea
alfabet, a tr eia lite ră a textului cla r este înlocuită cu prim a literă din al doilea alfabet, a
patra liter ă din tex tul clar este înlocu ită de a doua liter ă din primul alfabet ș.a.m.d.

34

Cap. 4 – Criptografia
4.1.2. Permutarea sau transpozi ția
Prin aceas tă metodă în loc să se înloc uiască un caracter cu un altul, se înlocuie ște
ordinea caracterelo r. Astfel, se elim ină posibilitatea de descifrare a mesajului p rin
analiza frecven ței de ap ariție a caracterelor. Totodat ă, cheia pentru un asem enea cifru nu
este standard, în loc de o list ă a substitu irilor se va folosi o s chemă a ordinii. De
exem plu, dacă ordinea într-un cuvânt clar este 1,2,3,4,5, într-un text criptat prin
transpoziție ordinea poate fi 5,4,1, 2,3. de exemplu, cuvântul PAROLA poate fi scris
RALOPA .
Perm utările unui astfel de ciclu ac ționează într-o m atrice bloc, ceea ce îns eamnă
că va fi o matrice de tip "patul lui Procust", în ca re tot cee a ce nu încape pe o linie se va
alinia în c ea următoare ș.a.m.d.
De exem plu mesajul CITESTE SI DA MAI DEPARTE, într-o m atrice cu cinc i
coloane dev ine:
CITES
TESID
AMAI D
EPAR T
E

În această variantă, citindu-se în o rdinea lin iilor, m esajul crip tat va f i:
CITES TESID AMAID EPART E
Dacă se va lucra la co loane, pr in folosirea tr anspoziției c ontrolate p rin che i,
rezultă altceva. De exemplu, dac ă asupra colo anelor se ap lică regula 1,2,3,4,5 = 5,3,
1,4,2 – exemplul anterior devine:
E
AMAI D
CITES
EPAR T
TESID
de unde rezult ă că textul crip tat și citit pe linie va f i:
E AM AID C ITES EPAR T TE SID

Aceleași reguli se po t aplica asupra coloanelo r sau asupra liniilor și coloanelor.
Com binarea transpozi ției cu substitu ția poate s ă conducă la variante aproape
imposibil de spart.

4.1.3. Cifrul lui V ernam
Cifrul lui Vernam constă într-o cheie cons tituită dintr-un șir se caractere
aleatoare nerepetitive. Fiecare liter ă a cheii s e adaugă modulo 26 la o liter ă a mesajului
clar. În aceast ă variantă, fiecare liter ă a cheii se folose ște o singur ă dată pentru un
singur m esaj și nu va m ai putea fi folosită niciodată. Lun gimea șirului de caractere a
cheii es te egală cu lungimea m esajului. Meto da este f oarte utilă pentru criptarea
mesajelor sc urte.
Exem plu: criptarea m esajului: LA MULTI ANI

35

Securitatea siste melor informatice
Mesaj clar LAMULTIA NI 11 0 12 20 11 19 9 0 13 8
Cheie Vernam VIDAGTSROL 21 8 3 0 6 19 18 17 14 11
Suma aparent ă 32 8 15 20 17 38 27 17 27 19
Modulo 26 din
sumă 6 8 15 20 17 12 1 17 1 19
Textul criptat G I P U R M B R B T

Cifrul cart e
Acest tip de cifru apeleaz ă la diverse surse, de obicei o carte, pentru a cripta un
text. Cheia, cunoscut ă de expeditor și destinatar, poate fi form ată din pagina c ărții și
numărul rândului de pe pa gina în care se afl ă textul.

Codurile
Codurile sunt folosite pentru a transm ite construc ții predefinite din a numite
domenii. (cum se foloseau la pagere). De regul ă, sunt dou ă rânduri de c ărți, una con ține
semnificația în clar a m esajelor în ordinea alf abetică și codul corespunz ător, ceal altă
conține o rdinea cresc ătoare a codu rilor și în d reptul lor s emnificația în cla r.

4.1.4. Ascunderea informa țiilor
Ascunderea infor mațiilor se practic ă din cele m ai vechi timpuri, iar în zilele
noastre m esajele secrete pot fi ascunse în fi șiere audio MP3, în fi șiere video, im agini
sau în ins trucțiunile ex ecutabile ale u nui program .
4.1.4.1. Stegan ografia
Steganografia este arta ascunderii existen ței unui m esaj pe un anum it suport.
Term enul vine din cuvintele grece ști steganos care îns eamnă acoperit și graphien – a
scrie.
Prin Stegan ografia se exprim ă inter esul pentru conf idențialitate, deoarece scopul
ei este de a include m esaje în tr-un anum it mediu astfel în cât să rămână insesizab il.
În prezen t, o tehnic ă frecvent utilizat ă este ascunderea m esajului printre bi ții
imaginilor digitale. Imaginile sun t repre zentate prin tr-o formă matriceală de pixeli
(picture x e lements), în semnând puncte din care se realizeaz ă imagine a. O im agine
"modestă" poate avea 400×300 pixeli. Fiecare pi xel este codificat printr-o secven ță de
biți care sta bilește culoarea. Cea m ai sim plă formă de codificare este sistem ul RBG ( red
blue, green) prin 24 de bi ți, adică câte 8 biți pentru fiecare cu loare. Cei 8 biți determin ă
realizarea a 256 de variante, prin com binarea lor rezult ă aproxim ativ 17 m ilioane de
nuanțe de culori. Unora dintre bi ți li se poate da o alt ă destinație, pentru a codifica
mesaje, fără aă fie afectat ă semnificativ calita tea im aginii.
Ultim ul bit, cel m ai din dreapta, nu are un ro l semnif icativ în stabilirea culor ii, el
schim bă culoarea cu un spectru, echivalent cu modificarea orei cu o secund ă (cât
reprezintă o secund ă dintr-o or ă ?).
Biții suc cesivi ai m esajului vor f i plasați pe pozi ția biților ce l mai puțin
semnificativi ai oc teților, fără a fi afectat ă semnif icativ im aginea. F ăcând un calcul
simplu, pentru o im agine de 400×300 pixeli, fiecare cu câte trei octe ți, de la ca re se pot
împrum uta 3 biți, rezu ltă 400×300×3 = 360.000 bi ți alocați pentru m esajul nostru secret.
Un caracter poate fi scris pe 8 bi ți, deci 360.000 / 8 = 45.000 de caractere poate avea
mesajul nostru.
36

Cap. 4 – Criptografia
4.1.4.2. Filigranarea
Un f iligran este un m odel dis tinct încapsula t într-un docum ent, im agine, video
sau audio de c ătre cel care se afl ă la orig inea datelo r. Filigranu l poate avea câ teva
scopuri, printre care:
ƒ indica rea p roprie tarilor datelo r;
ƒ ținerea ev idenței copiilor datelor;
ƒ verificarea integrit ății datelor.

Filigranele folosite în bancnote au scopul de a înt ări încrederea posesor ilor că se
află în f ața banilor originali și nu a unora contraf ăcuți, scopul fiind de securizare
împotriva f alsificării. U n filigran poate f i invizibil cu ochiul libe r sau inses izabil de
ureche, dar exist ă mijloace de d etectare și extrag ere a lui pentru a se verifica
autenticita tea date lor sau sursa lo r.
Datele f iligranate sunt o funcție a u nui iden tificator și/sau cheie care este unic ă
pentru au tor. Aceste valori sunt ne cesare pentru detectarea sau extr agerea filigranului.
Dacă mai multe copii ale date lor sursă au f ost filigranate separ at, fiecare ele v a fi
prelucrată cu o cheie proprie, deci fiecare copie are am prenta ei. Prin ținerea ev idenței
fiecărei chei folosite p entru fiecare beneficiar este u șor de urm ărit cine a înc ălcat
drepturile de autor.

Filigr anele pot f i de do uă tipu ri: fragile sau so lide. F iligranele fragile sunt m ai
ușor de schimbat, dar sunt folo site doar pentru a vedea dac ă datele au fost schim bate, în
timp ce f iligranele solide rezis tă tuturor m anipulărilor și manevrelor la care sunt supuse.
Filigr anarea este similară cu s tegano grafia și se bazează pe tehnici de proiectare
apropiate.
În spațiul cibern etic, f iligran ele sunt f olosite pentru s tabilir ea în călcării
drepturilor de autor. Digim arc Technologies1 are un produs pentru protejarea im aginilor
puse de proprietar în site-ul p ropriu. Deținătorii copyright-ului insereaz ă filigranul lor,
folosind PhotoShop de la Adobe, sau un alt editor de im agine care înglobeaz ă
tehnolog ia Digim arc. Când recep torul folose ște același edito r pentru vizua lizarea
imaginilor v a fi afișat simbolul de copyright al autorulu i. Prin selectarea sim bolului se
realizează legătura cu Digim arc, de unde vor afla cine este de ținătorul dreptu lui de
autor. De as emenea, Digim arc are un m otor de căutare, MarcSpider, care caut ă imagini
filigran ate furate d e la autorii lo r.
În dom eniul pirateriei muzicii, firm a Aris Techn ologies Inc2 a realizat ap licația
MusiCode, care în capsu lează informații sursă (titlul, a rtistul, com pania de înreg istrare)
în fișierul audio. Softul este folosit pe Internet într-un m otor de căutare care com bate
pirații de melodii.
4.1.4.3. Securitatea în domeniul tip ăriturilor
În categoria securiz ării produselor tip ărite in tră o gamă largă de produse, printre
care , cele m ai importante sunt: banii, doc umente oficiale ale guvernelor, com pone nte
de avioane s au calcu latoare, până la țigări, băuturi alcoo lice s au răcoritoare etc.

1 www.digimarc.com și www.digimarc-id.com
2 www.aris-techn i.fr/
37

Securitatea siste melor informatice
Majoritatea produselor de securizare nu au preten ția că vor putea stopa pirateria,
sau falsificarea, dar scopul acestora este a dovedi înc ălcarea unor nom e com erciale și
jurid ice.
Se consider ă că în cazu l bancnotelo r false, exist ă trei nivele de verificare prin
care falsurile pot sau nu s ă treacă. Acestea sunt:
• nivelul primare de verificare – realizat de persoane le neinstruite s au cu
puțină experiență în actele de vânzare-cum părare;
• nivelul secu ndar de verificare – exercitat de personal com petent și motivat,
operatorii de la ghi șeele băncilo r sau inspec torii ca lificați ai produselor
industriale m arcate cu etichete ți/sau tim bre fiscale. Aceștia dispun de
echipam ente speciale (l ămpile cu ultravio lete, c reioane cu re activ i chim ici,
scannere sau PC-uri specializate). Aceste echipam ente nu pot fi prea
numeroase și nici prea costisitoare, iar falsificatorii le cunosc capacit ățile;
• nivelul trei de verificare – efectuat în laborat oarele speciale ale
producătorilor de ele mente de securita te p entru băncile ce realizeaz ă
emisiuni m onetare. Aces te ech ipam ente sun t foarte scum pe și destul de rare,
dar nu pot da rateuri. E le se folosesc doar în cazuri speciale.

Docum entele speciale, hârtiile de valoare folosesc, de regul ă, următoarele
produse de tip ărire:
• intaglio sau gravura cu aciz i – se u tilizea ză pentru fixa rea c u mare forță a
cernelii pe hârtie . Aceasta tehnic ă produce o imprim are în relief cu o m are
rezoluție – se utilizeaz ă la tipărirea b anilor și a pașapoartelor;
• literă presa tă – cerneala este depus ă prin rula rea c aracterelor în re lief și
presarea hârtiei pe care se realizeaz ă tipărirea, astfel încât s ă rămână urm ele
presării. Te hnica se f olosește pentru im prim area numerelor ce indic ă
valoarea bancnotelor.
• procesarea simultan ă – este tehnica prin care cerneala se transfer ă simultan
pe am bele fețe ale bancn otei, ceea ce duce o suprapunere perfect ă a tipăririi;
• ștampilele de cauciuc – se folosesc pentru a ndosarea docum entelor sau
pentru ștampila rea fotografiilor pe d ocumente;
• gofrarea și laminar ea – adică scrierea în relief și lam inarea s e folosesc
pentru m arcarea caracterelor pe card uri și fixarea fotograf iilor, scum pindu-se
astfel costu rile contrafacerii. Gofrarea se realizeaz ă fie fizic sau cu ajuto rul
laseru lui pentru f ixarea fotograf iilor pe docum entele d e iden tificare.
• filigranele – sunt zone transparente sau m arcate cu m ateriale speciale pen tru
prote jarea hârtiilo r de va loare. Se po t utiliza și fire fluorescente.

Dintre tehnicile cele m ai moderne de securizare a docum entelor se enum ără:
• cernelurile schimb ătoare optic – își pot sch imba culo area (de la verde la
galben) func ție de unghiul sub care este pr ivit docum entul. Tehnica se m ai
numește "gât de r ățoi" sau "gu șă de porum bel".
• cerneala cu propriet ăți magnetic e sau fotoacus tice
• imprimarea unor semne viz ibile doar cu echipamente speciale –
microtipărirea, tipărirea cu cerneluri ultraviolete, infraro șii sau m agnetice.
38

Cap. 4 – Criptografia
• firele sau f oile m etalice – fire cu iriz ări simple, holograme (realizată optic
și reprezin tă obiecte întregi pe un plan îndep ărtat) sau kinegramele (realizate
pe calcu lator, oferă imagini dif erite funcție de unghiul de privire).
• marca d igitală a copyright-ului – este recunoscut ă de copiatoare și scan ere,
care s e opresc la întâlnirea ei, îm piedicând repro ducerile ileg ale.
• unicitatea – este as igurată prin dispunere aleatoare de fibr ă magnetică pe
hârtie.

În ceea ce prive ște realizarea elementelo r de securitate a elem entelor tip ărite,
trebu ie să se țină cont și de următoarele:
• elem entele de securitate trebuie s ă spună ceva, să fie purtătoare ale u nui
mesaj reprezentativ pentru produs.
• trebu ie să-și găsească locul potr ivit, să se încadrez e în mod f iresc în
ansam blul docum entului, astf el în cât fixarea în m intea utilizatoru lui să fie
naturală.
• efectul lo r trebuie s ă fie evident, d istinct și inteligibil.
• nu trebu ie să intre în co ncurență cu alte produse realizate cât de cât sim ilar,
pentru a nu da curs im itărilor sau co nfuziilor.
• trebu ie să fie standardizate.

În cazul bancnotelo r, sunt necesare 20 de elemente de securizare care nu sunt
mediatizate. Doar câteva di ntre ele sunt aduse la cuno ștința inspector ilor de spec ialita te,
dar cu tim pul acestea s unt aflate și de f alsificatori. Dup ă un tim p mai îndelungat se afl ă
aproape toate cele 20 de elem ente de siguran ță, mom ent în care bancnotele sunt retrase
și sunt înloc uite cu un alt m odel.

4.2. Sisteme de criptare pr in chei simetrice (private)
Acest tip e crip tografie apeleaz ă la o singur ă cheie atât la expedito r cât și la
destinatar. E xpeditorul (em ițătorul) criptează textul clar cu ajutorul unei chei secrete, iar
destin atarul (receptoru l) îl va decripta cu aceea și cheie. Reu șita crip tării es te da tă de
secretizarea cheii. Ideal ar fi ca o ch eie simetrică să se foloseasc ă o singură dată.
Un sistem de crip tare p rin cheie s ecretă are în s tructura sa in formație publică și
informație priva tă.
Inform ația publică cuprinde:
• un algor itm folosit pen tru criptarea textulu i clar în m esaj cr iptat;
• posibil, un exem plar al textului clar și textul criptat co respun zător;
• posibil, o variant ă criptată a tex tului clar care a fost aleas ă de către un
recep tor neinten ționat.
Inform ația priva tă poate fi:
• cheia s au variab ila de criptare;
• o anum ită transf ormare cr iptog rafică dintr-o m ulțime de transform ări
posibile.

Succesul sis temului se b azează pe dim ensiunea cheii. Dac ă are m ai mult de 128
biți este una destul de sigur ă, deci sigur ă în exp loatare. Ea s e adaugă la rapid itatea c u
care s e efectueaz ă criptarea și volumul m are de date asupra c ărora poate opera.
39

Securitatea siste melor informatice
Cele tr ei caracteristici esențiale ale s istem elor bazate pe ch ei simetrice sun t:
• siguranță;
• rapid itate;
• volum mare de date criptate.

Singura problem ă a sistem ului const ă în folosire a în com un a cheii de cr iptare de
către em ițător și recep tor, ceea ce în seam nă că emițătorul tre buie să folo sească o paletă
largă de chei pentru o mare diversitate a uti lizatorilor. Sistem ele bazate pe chei publice
nu oferă mecanism ele necesare autentific ării și nerepudierii.

4.3. Sisteme de criptare prin chei asimetrice (publice)
Spre deoseb ire de sistem ele de criptare bazate pe chei secrete, care p resupun o
singură cheie cunoscut ă de em ițător și receptor, sistem ele bazate pe chei publice
folosesc dou ă chei: una public ă și una privat ă.
Cheia public ă este pusă la dispozi ția oricărei persoane care dore ște să trimită un
mesaj cripta te;
Cheia privat ă este utiliz ată pentru decriptarea m esajului, iar nevoia de a fac e
schim b de chei secrete este elim inată.
Funcționarea sistem ului:
• cheia pub lică nu poate decripta un mesaj criptat;
• se recom andă ca o cheie privat ă să nu derive dintr-o cheie public ă;
• un m esaj care a f ost criptat pr intr-o anum ită cheie poate fi decrip tat cu altă
cheie;
• cheia p rivată nu este făcută publică.

Criptogr afia prin ch ei publice este posibil ă în aplicațiile care funcționează într-
un singur sens. O func ție în sens un ic este aceea care es te ușor de calculat într-o direc ție,
dar dificil de calculat în sens invers.
Pentru o asem enea func ție, y = f(x) , este s implu de calcula t valoar ea lu i y dacă
se știe x, dar este foarte greu s-l determ inăm pe x dacă-l cunoaștem pe y (de ex. cartea
telefonică, dacă știm un număr de telefon, este foarte greu s ă găsim persoana).
Pentru ca func țiile cu sens unic s ă fie utile, ele trebuie s ă aibă o trapă, adică un
mecanism secret care s ă perm ită realizarea cu u șurință a funcției inver se, astfel încât să
se poată obține x dacă se știe y.
În contextul crip tografiei bazate pe chei publice este foarte d ificil să se calculeze
cheia p rivată din cheia public ă dacă nu se știe trapa.
De-a lungul anilor sa-a u dezvoltat m ai mulți algoritm i pentru cheile publice.
Unii din tre ei s e folosesc pen tru semnătura digita lă, pentru criptare sau în am bele
scopuri. Din cauza calculelor num eroase solicitate de criptarea prin ch ei publice, aceasta
este de la 1000 la 10.000 ori m ai lentă decât crip tarea prin chei secrete, au ap ărut
metode hibride, care folosesc criptografia prin chei publice pent ru transm iterea sigur ă a
cheilo r secrete utilizate în crip tografia prin ch ei simetrice.
Dintre a lgoritmii importanți ai cheilor public e, amintim Diff ie-Hellm an, RSA, El
Gamal Knapsak și curba elip tică,.

40

Cap. 4 – Criptografia
4.3.1. Semn ătura digital ă
Inventarea criptografiei pr in chei publice a adus dou ă mutații im portante . Prima
perm ite tr ansmiterea un ui se cret către o altă persoană fără să fie n evoie de o a treia
persoană de încredere s au de un canal de com unicație off-line pentru a transm ite ch eia
secretă. A doua m utație s-a produs pe planul calcul ării sem năturii dig itale.
Definiție:
O sem nătură digitală este un bloc de date (c ifre binare) ce se atașează unui mesaj
sau docum ent pentru a înt ări încrederea unei alte persoane sau entit ăți, legându-le de un
anum it emițător.
Legătura este realiza tă astfel în cât sem nătura digital ă poate fi verificat ă de
recep tor sau de o terță persoană și nu se poate spune d ă a fost uita tă. Dacă doar o cifr ă
binară nu corespunde, semn ătura va fi respins ă în procesul de validare.
Semnătura digital ă stabilește au tentic itatea su rsei m esajului.
Dacă o persoan ă nu-și divulgă cheia personal ă privată nimeni nu poate s ă-i im ite
semnătura. O sem nătura priv at nu înseam nă și recunoa șterea dreptului de proprietate
asupra tex tului tran smis, ci ea atest ă faptul că persoana sem natară a avut acces la el și l-
a sem nat.
Atunci când sem narea este cup lată cu crearea docum entului, sem nătura digital ă
poate oferi o prob ă evidentă a origin ii do cumentului. În aceast ă catego rie in tră
fotograf iile făcute cu cam ere digitale bazate pe ch ei priv ate, caz în care proba este de
necontes tat. Procedeul este folosit când se dore ște realizarea protec ției îm potriva
manipulării im aginilor cu calcu latorul. În acela și mod pot lucra și cam erele video sau
alți senzo ri care-și pot semna ie șirea pentru a -i certifica orig inea.
Deși sem nătura dig itală este im plem entată prin sistem ul crip tografie i cu chei
publice, în cazul aces teia com ponent a privată este folosită pentru sem narea m esajelor în
timp ce componenta public ă este f olosită pentru a verifica semn ătura.
Iată care este m ecanis mul realiz ării sem năturii digita le: Dacă (A) vrea s ă
semneze un m esaj, va calcu la o v aloare rezu mat a m esajului, care este determ inată
printre-o func ție pub lică de dispers ie (hashing ). În acest m oment nu se folosesc chei. În
pasul urm ător (A) va u tiliza o ch eie priva tă pentru sem nătură KS Apriv. pentru a calcu la o
transf ormare criptogr afică a valorii re zumat a mesajulu i. Rezulta tul, car e este sem nătura
sa pe m esaj, se ata șează mesajului. Din acest m oment, m esajul poate fi transm is unei
alte persoane, de exem plu (B), sau poate fi stocat într-un fi șier.
Când (B) prim ește m esajul, validea ză sem nătura lui (A) c u ajutoru l cheii ei
publice pentru sem nături KS Apubl, ce va fi folosit ă ca intrare într -o funcție criptog rafică
prin care se va testa dac ă valoarea rezum at determ inară de (B) este ace eași cu valoarea
codificată prin sem nătura lui (A). Dac ă valoarea coincid e, (B) va accepta sem nătura. De
remarcat că nici o cheie a lui (B) nu a fost utilizat ă în procesul de validare a sem năturii
transm ise de (A), ci doar cheile lui (A).
Dacă (A) transm ite cheia unui m esaj secret c ătre (B), v a folosi doa r cheile lui
(B).
Dacă (A) d orește să trimită un mesaj, sem nat și criptat, către B, pr ocesul
presupune utilizarea cheilor pentru sem nături ale lui A (KS Apriv și KS Apub), a cheilor lui
B de criptare (K Bpub) și o cheie a m esajulu i, K. În sintez ă, procesul este urm ătorul:
• (A) generea ză o cheie aleato are a mesa jului, K. (A) cr iptează mesajul M cu
cheia K, ob ținând m esajul cr iptat MC;
• (A) crip tează cheia K folosind ch eia public ă a lui (B) d e crip tare K Bpub,
rezultând ch eia criptat ă KC;
41

Securitatea siste melor informatice
• (A) realizeaz ă o se mnătură S folosind cheia s a privată pentru sem nătură
KS Apriv.;
• (A) tr imite către (B) urm ătoarele: KS, MC și S;
• (B) folose ște cheia sa p rivată de criptare, K Bpriv, pentru a decripta KC și a
obține ch eia K;
• (B) folose ște K pentru decriptarea MC și obține textul clar M;
• (B) folose ște cheia pu blică pentru sem nătură a lui (A), KS Apub, pentru
valida rea semnăturii S.

Tot acest proces este utilizat de procesul de crip tare a e-m ail-urilo r, așa că (A) și
(B) nu vor efectua m anual opera țiunile de m ai sus, ci le va face calculatoru l. Pentru a
dispune de aceste servicii este necesar ă contactarea unor firme sp ecializate, de exem plu
Verisign (www.verisign .com ). Oricum este neces ară obținerea unui ID digital3.
4.3.2. Sisteme de certi ficare a cheilor publice
Un sistem criptog rafic b azat pe chei publice poate fi com promis de o pe rsoană
(A) care transm ite o cheie public ă altei persoane (B) c ătre un alt p artener (C). În a cest
caz (C) va folosi cheia public ă a lui (B) pentru a crip ta mesajul, cu in tenția de a ajunge
înapoi la (B ), num ai că (A), folosin du-și prop ria cheie priv ată, va face ca recep torul să
fie el, reu șind astf el să decrip teze m esajul care era adres at lui (B).
Pentru a evita o as tfel d e ciudățenie, se recurge la procesu l certificării, prin car e
persoanele sunt legate de cheile lor publice. Docum entul oferit de o "Autoritate de
Certif icare" acționează ca orice alt em is de un notar și se efectueaz ă după aceleași
reguli, adic ă pe baza verific ării ide ntității persoanei solicitante, concretizându-se prin
atribuirea un ei chei publice pentru persoana respectiv ă. Unitatea de certificare s emnează
certificatu l cu propria cheie privat ă. Din aceast ă cauză, persoana este verificat ă ca
emițător dacă este necesar ă cheia ei public ă pentru deschiderea sesiunii de transm itere a
mesajelor criptate și/sau a se mnăturilor electronice. Certificatul co nține num ele
subiec tului, cheia lu i publică, num ele autorit ății de certificare, perioa da de valabilita te a
certificatu lui. Pentru a verifica semn ătura autorit ății de certificare, cheia ei pub lică
trebu ie să fie veri ficată încrucișat cu o alt ă autoritate de certificare.
Certificatele sunt păstrate într-un Registru, al ături de lista ce rtificatelor revocate.
În principiu, opera țiile p entru obținerea ce rtificatelor digitale și validarea tran zacțiilor
sunt redate în figura 4.1:

3 cadru l legal de utilizare a sem năturii electronice în Rom ânia se găsește la www.leg i-
internet.ro/lgsemel.h tm Autoritatea de
certificar e

Registru Entitate_1: solicitant ă a
certificatului digital 1. Solicitare C ertificat Dig ital
2. Certificat Di gital Sem nat
Tranzacție solicitat ă
de Entitate_2 3. Tra nzacția
certificată 4. Certificat
semnat
5. Solicitarea verific ării ch eii publice
a Entității_1
6. Răspunsul dat cererii de ve rificare
Fig. 4. 1: Prezentarea unei tranzac ții cu certificate digitale.
42

Cap. 4 – Criptografia
4.3.3. Infrastructura cheilor publice (P KI)
Infrastru ctura cheilor publice (PKI – Public Key Inf rastructure) își propune s ă
rezolve problem e manageriale din dom eniul cheilor publice, integrând sem nături și
certificate digitale cu o m are diversit ate de a lte servic ii specifice com erțului electron ic,
prin car e se solic ită oferirea in tegrității, co ntrolu lui ac cesulu i, conf idențialității,
autentif icării și a ner epudierii tranza cțiilor electro nice.
Infrastru ctura cheilor p ublice cupri nde certificatele dig itale, au toritățile de
certificare, autorit ățile de înr egistrare, po litici și pro ceduri cu chei pu blice, revo carea
certificatelo r, nerepud ierea, m arcarea tim pului, certificarea încru cișată, aplicații de
securitate, L DAP (Lightweight Directory Acces Protocol).
Certif icatele cheilor pu blice pot f i eliber ate în regim on-line sau of f-line. În
sistem off-line, o persoan ă trebu ie să se legitimeze cu un act de identitate. În varianta
on-lin e, certificatele s e pot oferi ca r ăspuns al unei cereri for mulate prin e-m ail sau
direct de pe un site specializat.
Com pania Verising ofer ă trei clase de certificate personale, num ite ID digital,
toate lega te de e-m ail:
• clasa 1 de certificate – verifică adresa de e- mail a utilizatoru lui, fără să
solic ite alte elem ente de autentif icare. După expr imarea inter esului p entru un
certificat, s istem ul trim ite o confirm are cu un PIN pe adresa de e-am il a
persoane i. Utilizato rul se în toarc e la site-u l anterior (al companiei) și oferă
PIN-ul, dup ă care este g enerat un ID digital și se memorează în calculatorul
utilizatorului.
• clasa 2 de certificare – cere utilizatorului s ă mai introduc ă și Socia l Security
Num ber, adresa și seria carnetului de șofer;
• clasa 3 de certificare – este destina tă com paniilor ce p ublică software,
oferindu-le un grad m ult mai mare de securitate, dar exist ă și o variant ă
pentru persoane fizice ocupa te cu transferuri ban care și contracte.

43

5. Modele și programe de securit ate
5.1. Modele de securitate multinivel

Din punct de vedere al securit ății, un sistem este diviz at în straturi, prin linii
orizontale, realizându-se a șa-zisa se curitate pe n ivele m ultiple (m ultinive l) prin car e se
realizează o delim itare netă între d iferite categ orii de info rmații din sistem (publice,
confidențiale, secrete, strict secrete). Aceast ă delimitare as igură certitudinea acce sării
informațiilor dintr-o an umită clasif icare num ai de persoan ele care au autorizația de
același nivel (sau mai mare) cu clas ificarea inform ațiilor a ccesate. Sche matic, siste mul
multinivel p oate fi rep rezentat ca în figura 5.1.
Politicile de contro lare a accesului sunt
foarte clare: o persoan ă poate accesa u n
docum ent num ai dacă autorizarea sa este cel
puțin egală cu nivelul d e clasificare al inform ației
citite. Ca efect, informațiile vor circula doar de
jos în sus , de la nivelul CONFIDEN ȚIAL, l a
SECRE T, STRICT SE CRET ș.a., iar de sus în
jos nu au v oie să circu le decât dac ă o persoan ă
autorizată le declas ifică.
strict
secre t
secret
confiden țial
public
5.1.1. Modelul B ell-LaPadula
Unul din cele m ai cunos cute m odele al poli ticilor de securitate este cel propus de
David Bell și Len LaPadula, în 1973, și este cu noscut sub num ele Bell-LaPadula sau
modelul de secur itate multin ivel. Sistem ele ce le ado ptă sunt numite și „sigure
multinive l” sau MLS ( MultiLeve l Secure ). Proprietatea de baz ă a aces tor sis teme este
aceea că informațiile po t circula în jos .
Form al, m odelul Bell-L aPadula a introdus trei principii: Fig. 5. 1: Modelul de securitate
multinivel
• principiul (sau proprietatea) securității simple , prin care nu-i este perm is nici
unui proces s ă citească date aflate pe un nivel s uperior lui. Este cunoscut și
ca Nu citi deasupra (No Read Up, NRU) ;
• principiul * (se citește stea): n ici un proces nu poate să scrie date pe un nivel
aflat sub el. Este cunoscut și ca Nu scrie ded esubt (No Write Down , NWD );
• princip iul securității discreționare introdu ce o matrice de acces p entru a
specifica co ntrolu l acces ului dis creționar. Este cunoscut și ca Trusted Subject
(subiect de încred ere). Prin acest p rincipiu, su biectu l de încredere vio lează
principiul *, dar nu se abate de la scopul s ău. Cele trei princip ii sunt redate în
figura 5.2.

44

Cap. 5 – Modele și program e de secu ritate

Nivel de sensibilitate ridicat ă
5.1.2. Modelul matricei de control al accesului
Printr-o m atrice de acces se ofer ă drepturi de acces pentru subiecte de încredere
la obiectele sistem ului. Dreptu rile d e acces sunt de tipu l citește, scrie, execută ș.a. Un
subiect de în credere este o entita te activă care își caută dreptu rile de acces la resu rse sau
obiecte. Subiectul poate fi o persoan ă, un program sau un proces. Un obiect este o
entitate pa sivă, cum sunt fi șierele sau o resur să de stocare. Sunt cazuri în care un
elem ent poate fi, într-un anum it context, subiect și, în alt context, poate fi obiect. Un
exem plu de m atrice de acces es te red ată în figura 5.3.
Coloanele s e num esc Liste de control al a ccesului , iar lin iile, Liste de
competen țe. Modelul matricei de co ntrol al accesului accept ă controlul discre ționar al
accesu lui pentru că intrările în matrice sunt la discreția persoanelor care au auto rizația
de a com pleta tabe lul.
În m atricea de contro l al accesului, com petențele unui subiect sunt definite prin
tripleta ( obiect, d repturi, num ăr aleator ).

Obiecte
Subiecte Fișier_1 Proces_1 Fișier_2 Fișier_3
Subiect_1 Citește/scrie Execută Citește Scrie
Subiect_2 Scrie Execută Nimic Citește
Subiect_3 Citește/scrie Execută Citește/scrie Nimic
Subiect_4 Scrie Nimic Scrie Scrie
Fig. 5. 3: Matrice de control al acce sului.

5.1.3. Modelul Biba
În multe cărți, este am intit și modelul Biba, al lui Ken Biba, ocupându-se doar de
integ ritatea sistem elor, n u și de confiden țialitate. El se bazeaz ă pe observa ția că în m ulte
cazuri confiden țialita tea și integ ritatea sunt concepte duale: în tim p ce prin
confidențialitate se im pun res tricții celo r ce p ot citi un m esaj, prin integ ritate sunt
controlați cei ce pot s ă scrie sau s ă modifice un mesaj. Nivel de sensibilitate medie
Nivel de sensibilitate redus ă Scrier e DA,
conform
principiul ui *
Citire D A, conform
principiul ui
securității simple Scrier e DA, prin vi olarea
principiul ui * de către un
subiect de încredere
Fig. 5. 2: Modelul Bell-LaPadula, cu cele trei principii
45

Securitatea siste melor informatice

În unele organiza ții gu vernam entale sau com erciale exis tă aplicații în care
integ ritatea datelo r este mult m ai importan tă decât confiden țialitate a, ce ea ce a făcut să
apară modele for male ale integ rității.
Integritatea vizeaz ă trei scopuri principale:
• protejarea datelor îm potriva m odificărilor ef ectuate de u tiliza torii neau torizați;
• protejarea datelor îm potriva m odificărilor neau torizate efectuate de u tilizatori
autorizați;
• asigurarea consisten ței interne și externe a datelo r.

Modelul a fost realizat în 1977 ca unul al integrit ății datelor, așa cum modelul
Bell-LaPadula este cunoscut ca m odelul confiden țialității datelor. Mod elul Biba es te
unul de tip re țea și folosește relația mai mic sau egal . O structur ă a rețelei este definit ă
ca un ansamblu par țial ordonat cu cea m ai mică limită superioar ă, LU B (Least Upper
Bound ), și cea m ai mare lim ită inferioară, GLB ( Greatest Lower Bound ).
O rețea rep rezintă un an samblu de clase d e integritate (CI) și de relații ordonate
între aces te clase. Ea po ate fi definit ă astfel:
(CI <= LUB, GLB).
Așa cum Bell-LaPadula opereaz ă cu niveluri diferite de sensibilitate, modelul
Biba clasific ă obiectele în diferite niveluri de integritate. Modelul enun ță trei axiom e ale
integ rității:
• axioma integrit ății simple. Ea stabile ște că unui subiect aflat pe un anum it
nivel d e integritate nu -i es te permis să observe (citeasc ă) un obiect de o
integ ritate m ai joasă (No Read Down , Nu citi ded esubt).
• axioma integrit ății * (se citește stea) s tabilește că unui obiect situat pe un
anum it nivel de integritate nu-i este perm is să modifice (sc rie) alt obiec t situat pe
un nivel m ai înalt de in tegritate ( No Write Up , Nu scrie deasupra) ;
• un subiect de pe un a numit nivel de in tegritate nu poat e solicita un subiect
situat pe un nivel de in tegritate sup erior.

Axiom ele și modelul Biba sunt redate în figura 5.4.

Nivel de integritate ridicat ă
Nivel de integritate medie
Nivel de integritate redus ă Solicitare NU Subiect
Citire D A, conform
axiomei integrit ății
simple
Subiect
Scrier e DA, conform
axiomei integrit ății *
Fig.5.4 : Modelul Biba
46

Cap. 5 – Modele și program e de secu ritate

În prac tică au f ost im plem entate m ai multe tipuri de sistem e de securitate
multinive l, cum sunt SCOMP, Blocker, MLS Unixe, CMW s, NRL Pum p, MLS
Logistics, P urple Penelope ș.a.

5.2. Modele ale securit ății multilaterale
Deseori, în realitate, preocup ările noastre s-au
concentrat n u către prevenirea cu rgerii în jos a infor mațiilor, ci
către stoparea fluxurilor între diferite com partimente. În astfel
de sistem e, în locul f rontiere lor or izontale, așa cum recom andă
modelul Be ll-LaPadu la, s-au creat altele verticale, conform
figurii 5.5.

Acest control al fluxuri lor infor maționale laterale este unul organiza țional, așa
cum este cel al organiza țiilor sec rete, pentru păstrarea în tain ă a num elor agenților care
lucre ază în alte țări, fără să fie cu noscuți de alte departam ente speciale. La fel se
întâm plă și în com panii, unde separarea vertical ă a com partim entelor, dup ă funcțiile
îndeplinite (produc ție, com ercială, personal-salarizare ș.a.), conduce la o situa ție
identică.
Există cel p uțin trei m odele diferite de implem entare a controlului acces ului și de
control al f luxurilor inform aționale prin modelul secur ității mult ilaterale. Aces tea
sunt:
• compartimentarea , folosită de comunitatea se rviciilor secrete;
• zidul chinez esc, folosit la des crierea m ecanism elor utilizate pentru
prevenirea c onflictelor de interese în practicile pr ofesionale ;
• BMA (British Med ical Associatio n), dezvoltat pentru descrierea fluxurilor
informaționale din dom eniul sănătății, conform cu etica m edicală.

Compartimentarea și modelul r ețea
Ani m ulți acest m odel a servit ca p ractică standard, în SUA și guvernele aliate,
pentru restric ționarea accesulu i la inform ații, prin folosirea cuvintelor-cod și a
clasificărilor. Este arhicunoscut cuvântul-cod Ultra , folosit în cel de-a l doilea r ăzboi
mondial, de c ătre eng lezi și america ni, pentru de criptarea mesajelor criptate de germ ani
cu m așina Enigm a. Cercul persoan elor cu acc es la m esajele d ecriptate f iind foarte red us,
numărul autoriz ărilor pe ntru inform ații de pe cel m ai înalt n ivel de clasif icare era m ult
mai mare. Prin f olosirea cuvin telor-cod s e creează o puternic ă subcompartim entare,
chiar a categ oriei strict s ecret și deasupra ei.
Cuvintele-cod sunt folosite pentru crearea grupurilo r de c ontrol al accesu lui
printr-o variant ă a m odelulu i Bell-LaPadula, num ită modelul r ețea. Clasif icările,
împreună cu cuvintele-cod, for mează o rețea, confor m figurii 5.6. Potrivit m odelului, o
persoană autorizată să aibă acces la inform ații SECRETE nu poate a ccesa inf ormații
SECRE TE CRIPTO, da că nu are și autor izație pentru CRIPTO.
Ca un sistem s ă răspundă acesto r cerințe, va trebui ca p roblem ele clasific ării
informațiilor, ale auto rizării persoan elor și ale e tichetelor c e însoțesc inform ațiile să se
transf ere în politica d e secur itate pentru a def ini țintele se curității, m odul de
implem entare și evaluare.
Date partaj ate Departament 1
Departament 2
Departament k
Fig. 5. 5: Modelul
securității multilaterale
47

Securitatea siste melor informatice

Modelul z idului chinez esc
Modelul a fost realizat de Brewer și Nash. Num ele provine de la faptul c ă
firmele care presteaz ă servicii financiare, cum sunt băncile de investi ții, au normele lor
interne pentru a prev eni conf lictul de interese, n orme num ite de auto ri zidul ch ineze sc.
Aria de ap licare este, însă, mai largă. Se poate spune c ă toate firm ele prestatoare de
servic ii au c lienții lor și pentru a-i p ăstra se afl ă într-o ver itabilă com petiție. O regul ă
tipică este urm ătoarea: „un parten er care a lu crat recen t pentru o co mpanie dintr-un
anum it domeniu de ac tivita te nu po ate să aibă acces la do cumentele c ompaniilor din
acel dom eniu”, cel pu țin pentru o perioad ă controlat ă de tim p. Prin ace asta,
caracteristica m odelului zidulu i chinezesc cons tă într-un mix de libertate de opțiune și
de control o bligator iu al accesului : oricin e este liber s ă lucreze la orice companie, dar
îndată ce a optat pentru una, se supune restric țiilor ce op erează în domeniul respe ctiv
de activita te.
Modelul z idului chin ezesc introdu ce principiul separ ării ob ligațiilor de s erviciu:
un utilizator anum e poate s ă prelucreze tran zacțiile A sau B, nu am ândouă. Așadar,
putem spune c ă modelul zidu lui chinezes c ad uce elem ente noi pe linia control ării
accesu lui.
Modelul B MA (Britis h Medical Association )
În dom eniul m edical sunt confrunt ări serio ase privind to cmai sistemele de
securita te a datelo r pac ienților. În e fortul m ultor țări de a introduce carduri inteligente
cu datele m edicale pers onale, s e înregistreaz ă o puternică opoziție din partea publicului.
Acesta invoc ă vulner abilitatea ind ividului p rin trece rea in formațiilor despre anu mite
boli foarte grave, purtate pân ă acum pe brățara d e la m ână, pe cartela inteligen tă, ceea
ce va face ca atunci cân d se va afla în avion, în țări străine, să fie foarte greu sau chiar
imposibil să i se citeasc ă informațiile respe ctive. O altă problemă se referă la păstrarea
secretului datelor pe rsonale sau a un ei părți dintre aces tea.
Cea mai mare temere vine din cauza prolifer ării practicilor de inginerie socială,
putându-se afla cu mult ă ușurință date personale din baze de date m edicale.
Scopul m odelului politicii de securitate BMA este acela de consolidare a
principiului consim țământului pacientului și de a preven i accesul p rea multor p ersoane
la datele personale din bazele de date ce le con țin. Totul s-a rezum at la un nou sistem de
codificare. Politica BMA se bazeaz ă pe nouă principii, form ulate foarte pe scurt astfel: (Strict secr et, [cripto, luna ])
(Strict secr et, [cripto ]) (secr et, [cripto, luna ] )
(Strict secr et, []) (secr et, [cripto ])
(secr et, [])
(neclasific ate, [])
Fig. 5. 6: Model rețea cu et ichete de sec uritate.
48

Cap. 5 – Modele și program e de secu ritate
• controlul accesului,
• deschiderea înregistr ărilor, c
• ontrolul m odificărilor d in liste,
• consimțământul și notificarea clientului,
• persis tența,
• marcarea accesulu i pentru a serv i ca probă în justiție,
• urmărirea fluxului inf ormațiilor,
• controlul agreg ării inf ormațiilor,
• încrederea în sistem ele informatice.

Unii autori s usțin că politicile de sec uritate deseo ri înseam nă un abuz de mijloace
pur m anageriale, neglijându-se trei term eni preci și, utiliza ți pentru descrierea
specificațiilor tehn ice ale cerin țelor sistem elor d e securita te, prezen tați în continua re.
Modelul polit icii de securitat e este o declara ție succin tă a propriet ăților sau
principiilor securit ății, ca un sistem sau ca un tip generic de sistem . Punctele sale
esențiale pot fi consemnate în scris, pe cel m ult o pagin ă, iar docum entul r espectiv
prevede scopurile protec ției unui sistem , agreate de într eaga com unitate sau de linia
managerială a clienților. Un astf el de m odel constitu ie ba za de pornire a analize lor
formale m atematice.
Ținta securit ății este o descriere mult m ai detaliată a mecanismelor de p rotecție
oferite de o anum ită variantă de implem entare, precum și a m odului în ca re ele concu ră
la atingerea obiectivelor de control ale sistem ului. Ținta securit ății form ează baza test ării
și eva luării produsului implem entat.
Profilu l protecției, ca și ținta s ecurității, ex primă o ca le independent ă de
implem entare, care s ă perm ită evaluări com parative ale p roduselor s au versiunilo r lor.
5.3. Programul de securitate
Program ul de securitate al un ei co mpanii treb uie să se su pună unor elem ente
constitutive, și anum e: efectuarea structu rării program ului de securitate, definirea
politicilor d e secur itate, a standardelor, norm elor și a proc edurilor.
Fără politici riguroase, program ele de securitate vor fi aproape f ără suport,
ineficien te și nu se vor alin ia stra tegiei și obiectivelor organiza ției. Politic ile,
standardele, norm ele și procedurile constituie funda ția programului de secur itate al
organizației. Politicile e ficiente, cla r formulate, vor serv i procese lor de auditare și
eventua lelor litig ii. Co mbinând elem entele specificate, o entitate poate im plementa
controale sp ecifice, p rocese, program e de conștientiz are și multe altele, tocm ai pentru a-
i aduce un plus de lini ște. Spune românul: paza bun ă trece prim ejdia rea.
5.3.1. Politicile de securitate
Atunci când ne ref erim la securitate inf ormațională, noțiunea de politic ă de
securita te po ate ave a mai multe înțelesuri, iat ă câteva dintre ele:
• politica d e firewall-u ri, utiliza te pen tru con trolarea accesulu i și a traseelor pe
care circu lă informațiile;
• lacătele, cardurile de acces, cam erele de luat vederi ce înregistreaz ă totul din
perim etrele controlate.

49

Securitatea siste melor informatice
La im plem entare a politicilo r de sec uritate , trebuie pornit de la vârful piram idei
manageriale, unde se afl ă top managerii . Aceștia au m isiunea de a form ula Decla rația
politicii organiza ției. Aceasta este o for mulare general ă, o declara ție din care s ă reiasă:
• importanța resurse lor inf ormaționale pentru atingerea obiectivelor s trateg ice ale
organizației;
• formularea clar ă a sprijin ului aco rdat tehnolog iilor inform aționale în un itate;
• angajam entul top m anagerilor de a autoriza sau coordona activit ățile de definire
a standardelor, procedurilor și norm elor de securitate de pe nivelurile inferioare.

În afara declara ției politicii de secu ritate la n ivelul top m anagerilor, e xistă și
politici ob ligator ii, politici recom andate și politici inf ormative.
Polit icile o bligator ii sunt politici de securitate pe care organiza țiile sunt
obliga te să le im plem enteze ca efect al acordurilo r, regulam entelo r sau al altor prev ederi
legale. De regul ă, aici se încadreaz ă instituțiile financia re, ser viciile publice sau orice alt
tip de organiza ție care servește interesului pub lic. Aceste po litici sunt f oarte d etaliate și
au elem ente specifice, în func ție de dom eniul de aplicare.
De regulă, politicile ob ligator ii au do uă scopuri de baz ă:
• asigurarea c ă o organiza ție urm ează procedurile standard sau politicile d e bază
din dom eniul ei de activitate;
• de a oferi încredere organiza țiilor că ele u rmează standardele și politicile de
securitate din dom eniul de activitate.

Politicile recomandate, prin defini ție, nu sunt obligatorii, dar sunt puternic
susținute, cu prezentarea consecin țelor foarte d ure în cazul înregis trării eșecurilor. O
organizație este direct interesat ă ca toți angajații ei să considere aceste politici ca fiind
obligatorii. Cele m ai multe politici s e încadreaz ă în aceas tă categorie. Ele sunt foa rte clar
formulate la toate nive lurile. Cei m ai mulți angajați vor fi riguros controla ți prin astf el
de politici, definindu-le rolurile și responsabilit ățile în organiza ție.
Polit icile in format ive au scopul de a inform a citito rii. Nu poate fi vorba de
cerințe spe cifice, iar inte resații de aceste politici pot s ă se afle în interiorul organiza ției
sau prin tre partenerii ei.
Elem entelor com une tuturor politicilor de secu ritate, as tfel:
• domeniul d e aplica re: declararea d omeniului d e aplicare în seam nă prezentarea
intenției vizate de politic ă și ea va scoate în r elief și legăturile exis tente cu
întreaga do cumentație a organiza ției. Form ularea trebuie s ă fie scurt ă și se
plasează la începutul docum entului;
• declararea politicii top managerilor se include la începutul docum entului și are
dimensiunea unui singur paragraf, sp ecificând scopul gl obal al politicii;
• responsabilit ățile constituie con ținutul unei sec țiuni distincte și cuprind
persoanele implicate în asigurarea bunei func ționări a po liticii;
• consecințele: printr-o as tfel de formulare se prezin tă pierderile posibile dac ă
politica nu va fi respectat ă;
• monitor izarea: se speci fică modul în care se m onitorizeaz ă respectarea și
actualizarea continu ă a politicii;
• excepțiile: se menționează cazurile în care apar excep ții și modalitățile de tratare
a lor; de regul ă, au o durat ă limitată de aplicare, de la un ca z la altul.
50

Cap. 5 – Modele și program e de secu ritate
5.3.2. Standardele, normele și procedurile de s ecuritate
Pe nivelul inf erior politicilor se af lă trei elem ente de im plem entare a politicii:
standardele, norm ele și procedurile. Ele con țin detaliile politicii, cum ar fi posibilitățile
de im plementare, ce standarde și proceduri s ă fie într ebuințate. Ele s unt făcute publice la
nivel de organiza ție, prin m anuale, I ntranet, cărți, cursuri ș.a.
De cele m ai multe ori, standardele, norm ele și procedurile sunt tratate laolalt ă,
dar nu es te cea m ai inspirată idee, fiindcă tratarea s eparată a lor este justif icată de
următoarele argum ente:
• fiecare dintre ele serve ște unei func ții dif erite și are propria audien ță; chiar și
distribuția lor fizică este m ai lejeră;
• controalele securit ății pe linia conf idențialității sunt diferite pent ru fiecare tip de
politică;
• actualizarea și întreținerea politicii ar deveni m ai anevoioase, prin prisma
volum ului docum entației, dacă s-ar trata n ediferențiat.
Standardele
Standardele specific ă utilizarea anum itor tehnologii, într-o viziune uniform ă. De
regulă, standardele sunt obligatorii și sunt im plem entate la nivel d e unitate, to cmai
pentru asigurarea uniform ității. Elem entele principale ale unui standard de securitate
informațională sunt:
• scopul și aria de aplicare , prin care se ofer ă o descriere a in tenției standardulu i
(realizarea u nui tip d e server pe o anum ită platformă);
• roluri și responsabilit ăți la nivel de corpora ție pe linia de finirii, exec uției și
prom ovării standardului;
• standardele cadrului de baz ă, prin care sunt prezentate declara țiile de pe cel m ai
înalt nive l, aplicab ile platformelor și aplic ațiilor;
• standardele tehnologiei conțin declara țiile și descrierile aferente
(configura ția sistem ului sau serviciile nesolicitate de sistem );
• standardele administr ării reglem entează administrarea inițială și în tim pul
exploatării platform ei și aplic ațiilor.

Normele
Normele su nt oarecum asemănătoare standardelor, refe rindu-se la m etodologiile
sistem elor s ecurizate, n umai că ele sunt ac țiuni recom andate, nu obligatorii. Sunt m ult
mai flexibile decât s tandardele și iau în cons iderar e natu rile d iverse ale sistem elor
informaționale. E le spe cifică modalitățile de dezvoltare a sta ndardelor sau garanteaz ă
aderența la p rincipiile generale ale securit ății.
Elem entele princ ipale ale unei norm e de securitate inform ațională sunt:
• scopul și aria de aplicare , descriindu-se inten ția urmărită prin regula respectiv ă;
• roluri și responsabilit ăți pe linia definirii, execu ției și prom ovării norm ei;
• declarații de orientare : este un pro ces pas-cu -pas de prom ovare a tehnologiilor
respec tive;
• declarații de exploatare : se definesc obliga țiile zilnice, s ăptămânale sau lunare
pentru o corect ă exploatare a tehnologiei respective.

Procedurile
Procedurile prezint ă pașii detaliați ce trebu ie să fie parcur și pentru execu ția unei
activ ități. Se descriu ac țiunile concrete pe care trebuie s ă le efectueze p ersonalul. Prin
51

Securitatea siste melor informatice
ele se ofer ă cele m ai mici detalii pentru impl ementarea politicilor, standardelor și
norm elor. Uneori se folose ște în locu l aces tui con cept cel de practici.
5.3.3. Aspecte p ractice ale politicii de securitate informa țională
Realizarea propriei politici de securi tate presupune acoperirea m ai multor
domenii dif erite, iar conf orm standardului interna țional de definire a politicii de
securitate, ISO 17799, acestea sunt:
1. Planif icarea funcționării ne întrerupte a unității, cu obiectivul contracar ării
întrerupe rilor de ac tivitate ale un ității și ale proceselor princi pale ca efect al unor
acciden te majore s au dezastre.
2. Controlul accesului în sistem , cu obiectiv ele:
a. contro larea accesu lui la inform ații;
b. prevenirea accesulu i neautorizat în sistem ul inform ațional;
c. asigurarea p rotecției serviciilor p restate în rețea;
d. prevenirea accesulu i neautorizat la calculatoare;
e. detec tarea activităților n eautorizate;
f. asigurarea s ecurității inf ormațiilor când se folosesc com unicațiile mobile și
tele-activitățile.
3. Dezvoltarea și întreținerea sistem ului, cu obiectivele:
a. asigurarea s ecurității prin sistem ul operațional;
b. prevenirea pierderilor, modi ficărilor sau f olosirii inadecva te a datelor din
aplic ațiile sistemului;
c. protejarea confiden țialității, integrit ății și autenticității informațiilor;
d. asigurarea c ă proiec tele informatice și activitățile cola terale se derule ază
după proceduri sigure;
e. menținerea s ecurității sof tului și datelor din ap licațiile sistem ului.
4. Securitatea fizic ă și a m ediului, cu obiectivele:
a. prevenirea accesu lui n eautorizat, a distrugerilor și inte rferențelor cu
informațiile și celelalte com ponente ale sistem ului;
b. prevenirea pierd erilor, dis trugerilor sau com promite rilor va lorilo r
patrim oniale, precum și stopare a între ruperilor d e activ itate;
c. prevenirea com promiterii sau furtului de inform ații și al altor res urse
informaționale.
5. Maleab ilitatea , cu obiectivele:
a. preîn tâmpinarea în călcării cad rului juridic, a celui statutar, regulam entar sau
a oricărei obligații contractuale, precum și a cerințelor pe linia securit ății;
b. asigurarea m aleabilității siste mului la politicile și stan dardele
organizaționale pe linia s ecurității;
c. maximizarea eficien ței procesulu i de auditare a sistem ului și minimizarea
interferențelor cu acesta.
6. Securitatea personalului , cu obiectiv ele:
a. diminuarea riscurilor provocat e de factorul u man, fraud ă sau folosirea
ilega lă a componentelor sistem ului;
b. asigurarea c ă utilizatorii sunt con știenți și preocu pați de preîntâm pinarea sau
diminuarea am enințărilor asupra s ecurității informațiilor, susținând politica
de securitate a organiza ției pr in tot ce ea ce fac zi de zi;
c. minimizarea pagubelor provocate de incidentele ap ărute în sistem sau de
proasta func ționare a acestuia, precum și reținerea incidentelo r ca lecții
52

Cap. 5 – Modele și program e de secu ritate
pentru v iitor.
7. Organizarea securit ății, cu obiectivele:
a. asigurarea m anage mentului securit ății inf ormaționale în cadrul organiza ției;
b. asigurarea s ecurității componentelor folosite în prelucrarea inform ațiilor
organizației accesate de c ătre terți;
c. asigurarea s ecurității inf ormațiilor când respons abilitatea p relucrării ac estora
revine unei alte organiza ții, ca serviciu externalizat.
8. Managementul resurse lor informatice și al explo atării lor , cu obiectivele:
a. asigurarea func ționării corecte și sigure a com ponent elor sistemului
informatic;
b. minimizarea riscului c ăderii sis temului;
c. protejarea integrit ății softului și a inf ormațiilor;
d. asigura rea integr ității și disponibilit ății infor mațiilor pre lucrate și
comunicate;
e. asigurarea încrederii în infor mațiile din re țele și prote jarea inf rastru cturii
corespunz ătoare;
f. prevenirea pierderilor de valori patrimoniale și a într erupe rilor de ac tivita te;
g. prevenirea pierderilor, modific ărilor sau utiliz ărilor ilegale în schim burile de
informații cu alte o rganizații.
9. Clasificarea și controlarea valorilor patrimoniale , cu obiectivele:
a. menținerea unei pro tecții corespunz ătoare a valor ilor patrimoniale ale
organizației;
b. oferirea în crederii c ă valorile patrimoniale inf ormaționale au asigurat un
nivel de protec ție corespunz ător .
10. Politica de s ecuritate , cu obiectivele:
a. oferirea d e direcții manageriale;
b. sprijinirea a cțiunilor în treprinse pe p lanul secu rității informa ționale. Fiecare
dintre cele zece sec țiuni are în structur ă descrieri deta liate prin c are se
definește standardul ISO 17799.
5.3.4. Exemple de politici de securitate
De rem arcat că nu exist ă două organiza ții care să aibă politici de sec uritate
identice. Din analizarea m ai multor politic i de securita te se poate realiza o structur ă
generală a acestora, care va fi prezen tată în continuare.
Astfel, se începe cu un program de secu rizare a sis temelor inform aționale,
situație în care se folose ște con ceptul de politica pro gramului de securita te
informațională. Ea este acoperi șul sub care se vor realiza po litici tehnic e de securita te,
standarde și norm e de aplic are. Într-o un itate sunt necesa re po litici s peciale p entru
utiliza rea In terne tului și a e-m ail-ului, pentru accesarea de la dis tanță a sistem ului,
pentru m odurile de utilizare a unui sistem inform atic, pentru protec ția inf ormațiilor ș.a.
Așadar, se poate spune c ă printr-o politic ă a programului de securitate informațională se
definește p olitica d e ansam blu a organ izației în acest dom eniu, precu m și
responsabilit ățile din sistem . În a ceste condi ții, politicile ce se vor em ite sunt
componente esen țiale ale program ului și ele trebuie s ă răspundă la c inci ob iective
majore:
• prevenire : abilitatea de prevenire a accesu lui ne autorizat la valorile patrim oniale
ale org anizației;
• asigurare : asigurarea că politicile, standarde le și norm ele sunt în concordan ță cu
53

Securitatea siste melor informatice
intențiile organiza ției pe linia protej ării valorilor patr imoniale inf ormaționale;
• detectare : abilitatea de a detecta in trușii din sistem și de a lansa arsenalul de
contramăsuri corespunz ătoare ;
• investigare : capacitatea de a folosi tehn ici adecvate pentru ob ținerea
informațiilor despre pos ibilii in truși din sistem ;
• continuita te: posibilitatea de a garanta func ționarea neîntrerupt ă prin existența
unui plan de ac țiune în cazul dezastrelor, dezvoltat și testat în organiza ție.

În continuare, vom face o descriere succint ă a câtorva politici
Polit ica utilizării adecvate
O astfel de politic ă trebu ie să analizeze și să defineasc ă utilizare a
corespunz ătoare a resu rselo r inform atice din organiza ție. Utilizatorii trebuie s ă o
citească și sem neze atunci când î și expr imă intenția de deschidere a unui cont de
utilizator. R esponsabilit ățile utilizatorului pent ru protejarea inform ațiilor, m emorate în
conturile lor, trebuie s ă fie form ulate explicit, ca și nivelurile de utili zare a In ternetului
și e-m ail-ului. Politica, d e asem enea, trebu ie să răspundă următoarelor întreb ări:
• Trebuie ca utilizato rii să citească și copieze fi șiere care nu su nt ale lor, da r la care
au acces ?
• Trebuie ca utilizatorii s ă modi fice fișierele la care au drept de scriere, dar nu
sunt ale lor?
• Trebuie ca utilizatorii s ă facă copii ale fi șierelor de configurare a sistemului, în
scopul folosirii personale sau s ă le dea altora?
• Trebuie ca utilizatorii s ă foloseasc ă în com un conturile deschise?
• Trebuie ca utilizatorii s ă aibă drep tul de a face oricâte copii de pe softul care e
procurat cu licen ță de utilizare?

Polit ica privind conturile ut ilizatorilor
Politica vizeaz ă norm ele după care se form ulează cererile de deschidere a
conturilor din sistem și cum se efectueaz ă într eținerea lor. Este f oarte utilă în
organizațiile mari, în care utilizatorii au contur i în m ai multe sistem e. Este re comandată
modalita tea de citire și semnare a politicii de c ătre utiliza tor. O astf el de politic ă trebuie
să ofere răspunsuri la întreb ări de genul:
• Cine are au toritatea apro bării cererilor de noi conturi-utilizator?
• Cui (angaja ților, soțiilor/soților, rude lor, copiilor, vizita torilor ș.a.) îi este perm is
să foloseasc ă resursele infor matice ale organ izației?
• Poate un utilizato r să aibă mai multe contur i în ac elași sistem?
• Pot folosi utilizato rii în com un aceleași conturi?
• Care sunt drepturile și obligațiile u tilizatorilor?
• Când va fi dezactivat și arhivat un cont?

Polit ica acc esului de la distan ță
Prin ea se d efinesc m odalitățile de conectare de la distan ță la rețeaua i nternă a
organizației. Ea es te necesară în organiza țiile care au utilizator i și rețele d ispersate
geografic. P olitica trebu ie să răspundă următoarelor întreb ări:
• Cine poate s ă aibă dreptul acces ării de la distan ță?
54

Cap. 5 – Modele și program e de secu ritate
• Ce m etode sunt accep tate de organ izație (dia l-up, modem )?
• Este perm is accesu l din afară la rețeaua intern ă prin m odem?
• Se im pun a numite condiții, cum ar fi soft an tivirus și de secur itate, pentru
accesarea de la dis tanță?
• Pot alți membri a i familiei să acceseze re țeaua?
• Sunt restric ții privind tip ul datelor ce pot fi acces ate de la dis tanță?

Polit ica pro tecției infor mațiilor
Printr -o as tfel de politic ă se aduc la cunoștința utilizatorilo r co ndițiile
prelucrării, stocării și transmiterii infor mațiilor sensib ile. Scopul prin cipal al acestei
politici e ste asigura rea că informațiile sunt protejate, în m od corespunz ător, îm potriva
modificărilor sau dezv ăluirii neauto rizate. O astfel de politic ă trebuie se mnată de toți
angajații. Ea trebu ie să dea răspuns cel pu țin la u rmătoarele în trebări:
• Care sunt nivelurile de sensibilitate ale inform ațiilor?
• Cine poate s ă aibă acces la inform ațiile sens ibile?
• Cum sunt stocate și tran smise inf ormațiile sens ibile?
• Ce niveluri de inform ații sensib ile pot fi listate p e imprim ante public e?
• Cum trebuie să fie șterse informațiile sensibile de pe suportu ri (tocarea și arderea
hârtiilo r, curățirea discurilor ș.a.)?

Polit ica ges tionării firewall-urilor
Politica gestion ării firew all-urilor descrie m odul în care sunt gestionate hardul și
softul și cum sunt for mulate și aprobate ce rerile de schim bare din sis tem. O astfel de
politică trebuie să dea răspuns la urm ătoarele întreb ări:
• Cine are acces la s istem ele firewall?
• Cine trebuie s ă prim ească solicitările de efectuare a schim bărilor în conf igurația
firewall-urilor?
• Cine trebuie s ă aprobe efectuarea sch imbărilor în configura ția firewall-urilor?
• Cine poate s ă vadă norm ele și listele de acces la configura ția firewall-ului?
• Cât de des trebuie efectuat ă revizia firewal l-urilor?

Polit ica acc esului spec ial
Prin ea se definesc condi țiile formulării cer erilor de obținere a dre ptului d e
utilizare a u nor contu ri speciale din sistem (root , Adm inistra tor ș.a.). Ea trebuie s ă ofere
răspunsurile la urm ătoarele în trebări:
• Cine trebuie s ă prim ească cererile pentru acces s pecial?
• Cine trebuie s ă aprobe cererile p entru acces sp ecial?
• Care sunt regulile parolelor pent ru co nturile cu acces special?
• Cât de des se schim bă parole le?
• Care sun t motive le sau situațiile ce vor conduce la revoc area privilegiului de a
avea acces s pecial?

Politica de conectare la o re țea lo cală
Prin ea se definesc condi țiile adăugării de no i echipam ente la re țea și trebuie s ă
răspundă la întrebările:
• Cine poate instala o resurs ă nouă în rețea?
• Cine trebuie s ă aprobe in stalarea d e noi echip amente?
55

Securitatea siste melor informatice
• Cui trebu ie să i se aduc ă la cunoștință faptul că au fost adăugate no i ech ipamente
în rețea?
• Sunt unele restric ții pe linia securit ății în legătură cu echipam entele adăugate în
rețea?
Polit ica par tenerului d e afacer i
O astf el de politic ă stab ilește ce măsuri de secu ritate trebu ie să respecte fi ecare
companie parten eră. Ea este o politic ă cu atât m ai necesară acum când organiza țiile
oferă rețeaua lor inte rnă partene rilor, clien ților, furnizorilor. De și o astf el de politic ă
este diferit ă de la o organiza ție la alta, ea, totu și, trebu ie să ofere răspunsuri la
următoarele întreb ări:
• I se ce re fiecărei organiza ții să aibă scrisă o politică de securitate?
• Trebuie ca fiecare org anizație să aibă un f irewall sau alte echip amente de
securitate a perim etrului?
• Cum se vor realiza com unicațiile (linie închiriat ă, VPN prin Internet ș.a.)?
• Cum se vor for mula cererile pentru accesarea res urselo r partenerulu i?
Politica managementului parolelor
Deseori es te inim a politicilo r de s ecuritate dintr-o o rganizație. De regul ă, ea
reglem entează problem ele expir ării parolelor, ale lungim ii lor și altor ve rificări
necesare. Iat ă câtev a recom andări de surprins printr-o astfel de politic ă:
• lungim ea m inimă a unei parole trebuie s ă fie de cel pu țin opt carac tere;
• parola nu trebuie s ă fie un cuvânt din dic ționar;
• ea trebuie s ă fie o com binație de litere și sim boluri spec iale;
• parola trebu ie să expire dup ă o anum ită perioadă de tim p predeterm inată;
• parole le administratorilor de re țele trebu ie să expire m ult mai repede și trebuie
să fie mai lungi;
• parolele din organiza ție trebuie s ă difere de cele f olosite în alte sistem e;
• trebuie să fie păstrată o listă cu vechile parole pentru a preveni reutilizarea
(ultim ele șase parole nu trebuie s ă se repete);
• parolele utilizatorilor noi trebuie s ă fie unice și greu de ghicit.
Polit ica fo losirii Inte rnetului
Politica utiliz ării In terne tului, referit ă deseori prin acronim ul I-AUP ( Internet
Acceptable Use Policy ), este docu mentul prin care se d etaliază modurile în care
utiliza torii unei r ețele a organ izației trebuie s ă foloseasc ă serv iciul public Inte rnet.
Politica va descrie softul folosit pentru filtrare și blocare, cu scopul protej ării
organizației, dar și activitățile spec ifice pe rmise, precum și cine sunt beneficiarii aces tor
drepturi de acces și cui i se inte rzic. Ea este bine s ă se refere și la m etodele de
autentificare înain tea accesării Internetului în afara organiza ției/țării pent ru a preveni
personalul c ă folosește rețeaua o rganizației în sco puri ilega le.
Protocoalele specifice acoperite printr-o politic ă de utilizar e a Interne tului sunt
următoarele:
• Poșta electronic ă. Aceasta v izează toate form ele de e-m ail utilizate de o
organizație, definindu-se ceea ce se accept ă a se folosi, declarându-se softul
utiliza t pentru f iltrare și scanare. E a trebu ie să sublinieze cerin țele sp ecifice
referitoare la date le ce n u pot f i transmise prin e -mail și procedurile de urm at în
cazul în care un utilizator prim ește m esaje cu date de aces t gen. Prin aceast ă
politică treb uie prevăzute și măsurile luate în c azul ner espectării condițiilor de
utiliza re a e-mail-ului;
56

Cap. 5 – Modele și program e de secu ritate
• Web . Politica va p revedea cond ițiile specifice d e reali zare a traficului Web. Cât
timp WWW ( World W ide Web) folosește HTTP-ul (HyperText Transport
Protocol) pentru tr ansferarea informațiilor, prin politica de f ață vor fi defi nite
clar tipurile de site-uri W eb care sunt strict interzise, de genul celor porno,
jocurilor de noroc ș.a.;
• FTP. Permițând utilizatorilor accesul la FT P (File Transfer Proto col), se
deschide calea desc ărcării cu ușurință în sistem ul organiza ției a virușilor, dar și
transm iterea pe serverele din afara orgniza ției a unor inform ații confidențiale.
Pentru speciali știi organiza ției trebuie s ă se asigure u n nivel de acces FTP pentru
efectuarea u nor descărcări de fișiere în vede rea actualizării softului existent, dar
politica de f ață trebuie să stabilească autorizările de utiliza re FTP;
• Chat/IRC . IRC-ul (Internet Relay Chat) este mai puțin folosit în mediul
organizațional față de alte program e de chat (d ialogu ri Intern et), c um sunt
Yahoo, ICQ și AOL Ins tant Messen ger (AIM). As tfel de program e sunt foarte
riscante pentru organizație deo arece informațiile sunt transm ise unor servere
extern e fără o protecție corespunz ătoare. Politica de fa ță trebu ie să stabilească
în ce măsură produsele de tip chat servesc intereselor o rganizației.

În general, prin politica Inte rnet se face referi re la următoarele aspecte:
• acceptarea f olosirii și condițiile d e accept pen tru:
o descărcările de f ișiere;
o newsgroup- uri;
o comunicarea datelor sensibile;
o tipur ile de fișiere atașate;
o dimensiunea mesajelor;
o softul f ără licență;
o pachete d e aplicații soft neaprobate;
o exportul infor mațiilor sensibile;
o protecția fișierelor;
o protecția împotriva viru șilor;
• manage mentul schim bărilor din s istem;
• practicile de stocare a datelo r;
• siguranță și disponibilitate;
• protecția inf ormațiilor p rin cla sificarea lor ;
• contro lul ac cesulu i;
• e-mail-ul și datele ce pot fi re ținute/stocate în unitate;
• monitoriz area;
• excepțiile și amenda mentele politicii Internet.

57

6 Securit atea rețelelor de calculatoare
6.1 Mecanisme utilizate în securizarea re țelelor
Dynamic Host Configu ration Protocol – D HCP – este o modalita te rapidă și
simplă de a asigna adrese IP unui num ăr mare de clien ți.
Există nevoia de a defini un interval de IP-uri valide și de a le asigna autom at
clienților din re țea; de asem enea, a ap ărut nevoia de a defini o durata de viata unui IP .
6.1.1 Functionarea DHCP
DHCP implementeaz ă un model client-server și un agen t cu ro l de releu
(relay agent). Acest agent gestion ează inte racțiunea dintre clien ți și server. Deoarece
clien tul este princip alul parten er de com unicație în aceast ă situație, el inițiază toate
sesiunile cu serverul , lucru care are loc în faza de bootare. DHCP are urm ătoarele
facilități:
• suportă alocarea dinam ică;
• suportă alocarea s tatică;
• repar tizează adrese;
• suporta repartizarea persistenta
• reintegre ază repartițiile e xpira te.

În esență, DHCP este îns ărcinat cu m anipularea a dou ă seturi de date: reparti țiile
(IP-urile a locate ) și fondul de adrese (IP-uri disponibile). Reparti țiile sunt alocate
clienților confor m unei proceduri, care este destul de sim plă.

Cum primesc clien ții numere IP
Iată modul de func ționare a DHCP di n acest pun ct de vedere:
1. Clientul cere un IP printr-o difuzare de tip DhcpDiscover . Dacă clien tul are o
repartiție pe rsistentă, poate cere in ițial acea reparti ție.
2. Serverul alege un IP din fondul de adrese și întoarce un p achet DhcpOffer cu
un IP disponibil ata șat.
3. În cazu l în care clien tul dorește mai m ulte oferte IP, o va alege pe prim a sau
pe cea cu reparti ția dorită.
4. Clientu l difuzează un pachet DhcpRequest cu un identificator pentru un server
și trece în a ștepta re
5. Fiecare s erver care analizeaz ă pachetul și nu își dete ctează identif icatorul va
ignora pachetul. Dup ă ce serverul cu identificatorul co respu nzător p rimește pachetu l, el
va trim ite un DhcpAck (sau DhcpNak – daca IP-ul cerut este deja alocat, ceea ce
înseam nă că repartiția a expirat).
6. După ce clien tul primește pachetul DhcpAck, el începe s ă foloseas că IP-u l
alocat. În cazul în care prim ește DhcpNak, va rula de la început secven ța de cerere a
unui IP. Dac ă IP-u l rep rezintă o problem a din punct de vede re al clientului, acesta
trimite un pa chet DhcpDeclin e către server și reia secven ța de cerere a unui IP.

58

Cap. 6 – Secu ritatea rețelelor de calculat oare
Funcționarea într-o re țea LAN :
În etap a de lansare a s istem ului d e ope rare se emite o c erere de a locare IP
însoțită de adresa MAC a em ițătorului către toată rețeaua va prim i un răspuns de la
prim ul server DHCP î mpreuna cu o adresa IP, m asca, gateway-ul și serverele DNS.
Dacă DHCP alocă unui utilizator nou o adres ă IP nerutabil ă cu care nu poate
face m ai nim ic. Trebuie luat leg ătura cu adm inistratorul de sistem și mem orată adresa
sa într-un tabel NAT.
NAT – Netw orking Addressing Table – tabel de adresare în re țea – este o
soluție ca re perm ite ca în zona re țelei locale s ă se utilizeze exclus iv adrese p rivate.
Routerul converte ște toate c ererile modif icând headeru l care înso țește pachetul de da te
astfel în cât acestea s ă apară originate de c ătre rou ter și nu de sistem ul din spatele lui.
Avantaje :
• există o singura adresa IP public ă și se pot deservi oricât e adrese IP p rivate;
• oferă protecție pentru flood – ignora inform ațiile care nu ad resează o adresă
din tabela de NAT-are;
• toți cei d in rețeaua local ă nu există pentru re țeaua Internet
• un sistem local nu poate oferi un serviciu în afara zonei locale, cum ar fi un
setarea unui server

Se poate de fini un DMZ – zona dem ilitariz ată – astfel încâz toate sis temele să
prim ească informații din rețeaua W AN indiferent de con ținutul tabe lei de NAT-are.
În cazul în care într-un L AN există 2 sau m ai multe sistem e cu acelea și adrese IP
routerul le ignor ă cererile ceea înseamn ă ca nu va func ționa nici unul dintre sistem e.

6.1.2 No țiuni privind securizarea re țelei
Firewall-urile și serverele proxy, ca și criptarea și auten tificarea, sun t proiectate
pentru asigurarea securit ății datelor. Motiva ția este simp lă: dacă se dispune de o
conexiune la Internet, teoretic, oricine, oriunde s-ar afla în lum e, poate accesa re țeaua
(în anum ite condiții, evident). Dac ă nu exist ă nici un m ecanism de s ecuritate, orice
persoană care are acces la Internet, de oriunde din lum e, poate folosi TCP/IP pentru a
trece prin gateway-ul re țelei locale, c ătre orice mașina d in rețea.
Ideea este d e a proteja dou ă lucru ri: date le stocate în re țea și ech ipamentele
hardware, conectate la re țea. Intrușii sau ha ckerii pot intr a în rețea și pot modifica orice,
pot accesa o rice fel d e date sau chiar pot cauza d eteriorări fizice ale sist emel or.
Există multe m oduri în care intru șii pot accesa o re țea:
• exploatând bre șe de securitate din sistem ele de operare și aplicații;
• pin "inginerie social ă", care cons tă în convingerea cuiva, sub diferite
pretexte, s ă com unice num e și parole asociate.

Rolul unui firew all este să prevină pătrunderile neautoriz ate.
O alta problem ă de securitate : blocarea serviciu lui (den ial of service). Are loc
când hackerii nu v ă perm it folosirea norm ală a propriilor s istem e. Blocare se rviciului
are m ulte form e. Un exe mplu tipic este inundarea unui serviciu (gen email), adic ă acelu i
servic iului îi sunt tr imise atât de multe date înc ât devine su praîncărcat și se blocheaz ă
sau ruleaz ă în buclă infinită.
Există mai multe m odalități de p rotejare a re țelei.
59

Securitatea siste melor informatice
O metodă ar fi anonim atul: dacă nimeni nu știe nimic despre re țeaua dv, atunci
datele sunt în siguran ță. Însă este o f alsă securitate, pentru c ă exis ta o m ulțime de
moduri prin care se poate afla ce se afl ă pe Internet.
Cea m ai răspândită formă de securitate se num ește securitatea la nive l de gazdă
(host se curity) și se ref eră la securizarea s eparată a fiecărei mașini din r ețea. Vă bazați
pe ace st tip de secu ritate când seta ți perm isiunile de acces în Windows sau perm isiunile
UNIX pentru fi șiere și directoare. Este suficient îns ă o singură breșă pentru ca întreaga
rețea să fie deschis ă hackerilor. De asem enea, pentru c ă securitatea la nivel de gazdă nu
este aplicat ă egal tutu ror m așinilor, p ot fi exploatate serv iciile unei m așini slab prote jate
pentru a accesa o m așină cu securitate putern ica.

6.1.3 Firew alls
Un firewall este un computer, un router sau or ice alt dispozitiv de com unicație
care con trolează fluxul de date între re țele. În general, u n firewall e ste prim a linie
împotriva atacurilor d in afara re țelei.
Poate fi implementa t:
• hardw are – este un router special cu filtre adi ționale și capacități de
manage ment;
• softw are – rulează pe un sistem de operare oarecare și transformă un PC într-
un firewall.

Conceptual, dispozitivele firewall pot ac ționa la :
• nivelul "Retea" – sunt de obicei foarte rapide. Ele controleaz ă traficu l pe b aza
adrese lor su rsă și destinație, precum și a num erelor de port;
• nivelul "Aplica ție" – nu perm it traf icul direc t între rețele. De obicei ele s unt
computere care ruleaz ă servere p roxy. Acestea pot im plem enta proceduri de
securitate specifice. De
exem plu, se poate configura
așa încât s ă perm ită
funcționarea num ai a
protocolul de em ail.

Din cadru l aplicațiilor firewall ce
oferă o protecție bună la atacu rile tipice
din rețea putem aminti de Zone Alarm ,
Agnitum Outpost și Firewall-urile
integrate din W indows XP și unele
variante din Linux.
De exem plu în W indows XP se
deschide icoana ce reprezint ă
conexiunea curent ă spre Intern et și se
activ ează firewall-ul, a șa cum se poate
observa în figura 6.1.
Din opțiunea Settings se pot
configura serviciile ce pot fi accesate de
utilizatorii de pe Internet.
Fig. 6. 1: Activarea firewall -ului di n WindowsXP
60

Cap. 6 – Secu ritatea rețelelor de calculat oare

Fig. 6.2: Serviciile ce pot fi accesate prin Firewall și suportul pentr u mesaje ICMP

Rolul fir ewall-ur ilor
Tipul de se curitate importan t este securita tea la nive l de rețea. Presupune
securizarea tuturo r punctelo r de acces la re țea. C omponenta cheia este acest firewall – o
mașină care se com portă ca o inte rfață între rețea și Internet, având do ar preocup area
securității. Un f irewall are m ai multe rolur i:
• perm ite accesul la re țea numai din an umite locații;
• interzice utilizato rilor ne autor izați să obțină acces la rețea;
• forțează traficul dinspre re țea spre Intern et să treacă prin anumite pun cte
securizate;
• previne atacurile de ti pul blocar ea se rviciului;
• impune restric ții asup ra acțiunilor pe care un u tilizator de pe Interne t le poate
face în rețea.

Conceptul de firewall presupune ca nalizarea întregului trafic c ătre și dinspre
rețea prin unul sau m ai multe puncte care sunt configurate pentru a controla accesul și
servic iile.

Utiliz area firew all-urilo r
Multe persoane consider ă un firewall ca fiind o singur ă mașină, ceea ce uneori
este adev ărat. Există mașini dedicate doar aces tei funcții. Totuși, termenul f irewall se
referă mai mult la f uncțiile îndeplinite decâ t la un dispoz itiv f izic. Un f irewall p oate
consta d in mai multe mașini care co nlucrează, sau pot fi folosite m ai multe program e cu
funcție de firewall. Fi rewall-urile pot s ă îndeplineasc ă și alte func ții decâ t simpla
monitorizare a accesu lui la rețea.
61

Securitatea siste melor informatice
Firewall-urile nu sunt invincibile. E le sunt vulnerabile din cauza defectelor de
proiectare, sau a im plem entării (care necesit ă timp și bani pentru instalare și
configurare).
Un firewall ofer ă un singur punct de im plem entare a securit ății din rețea, deci
eventualele schim bări se fac pe o singur ă mașină și nu pe toate celelalte d in rețea (de ex,
se poate in terzice accesu l FTP anonim ). Firewall -urile pot ap lica po litici de securitate la
nivelu l întregii rețele, in terzicând de exem plu accesul la anumite servic ii de pe Internet
pentru toți utiliza torii din re țea.
Totuși, orice firewall ar e lim itări. Ele sunt utile doar pentru conexiunea re țea-
Internet. Ele nu opresc persoanele din re țea să facă orice vor altor m așini din rețea.
Ele nu pot proteja îm potriva pătrunderilor neau torizate da că aveți alte conexiuni,
ca un calculator care este conectat printr- un m odem la Internet prin interm ediul unui
ISP (conexiune care nu trece printr-un firewall). Un fire wall nu poa te preveni m ulte
problem e distribuite prin Internet, cum sunt viru șii și caii tro ieni.
Există două moduri principale de im plem entare:
• construirea unui firewall propriu din servicii de re țea elem entare.
• cumpărarea unui produs com ercial.

La instalarea unui firewall, m anual sau comercial, se pot controla m ai multe
fațete, depinde de administrator dac ă dorește sau nu activ area lor. U nele din aceste
fațete ar fi:
• serverele proxy
• filtrele de pa chete.

6.1.4 Proxy -uri
Soluție care perm ite accesarea informa ției de dup ă un router logic. Reprezint ă un
sistem de in termediere a tr aficulu i, adică primește cererile, identific ă răspunsurile, le
memorează și le tr imite solic itantului.
Posedă o adresa IP public ă și una privat ă – deci este un sistem cu dou ă placi de
rețea. Avantajul es te CACHE-ul folosit de pr oxy. Fiecare pagin ă are o dat ă și o oră
de expirare.
De asem enea se po ate folosi un prox y tran sparen t în sensu l că cererea din router
este redirectat ă către un proxy.

Serverele proxy
Un astfel d e server es te plasat între re țea și Internet și acceptă cereri pentru un
serviciu, le analizeaz ă și le trim ite m ai departe, în funcție de perm isiuni. Serviciul de
proxy ofer ă o conexiun e cu rol de în locuitor p entru acel serv iciu, motiv pentru care se
comportă ca un intermediar (proxy). Serverul proxy se plaseaz ă la m ijloc, ascu nde
anum ite inf ormații, dar p ermite desfășurare a serv iciulu i prin el.
Ideea este c ă, fără proxy, adresa IP a m așinii gazdă este trim isă în
pachete, prin Internet. Hacker ii pot determ ina dim ensiunea re țelei, d e exem plu. Un
server proxy schim bă adresa IP c u adresa lui și folosește o tabel ă internă pentru a
redirecta trafic ul care so sește și care pleac ă spre destina țiile corec te. Pen tru exterior va
fi vizibilă o singură adresă IP (a serverului proxy).
62

Cap. 6 – Secu ritatea rețelelor de calculat oare
Serverele proxy sunt întotdeauna im plem entate prin software și nu trebuie s ă
facă parte dintr-un pachet de firewall, de și sunt de obicei incluse.
Windows XP suport ă împărțirea conexiunii la Internet (Internet Sharing)
folosind op țiunea Netw ork Setup W izard din Start/ Settings/Network Connections. Îns ă
soluția aceasta nu func ționează întotdeauna.
O soluție mult m ai bună pentru un server proxy este aplica ția software
FreeProxy ( www.handc raftedsoftware.org )

Se configureaz ă programul
prin crearea unui serviciu IP în care
se alege placa de re țea ce face
legătura la Internet. Sistem ul pe
care func ționează aceas tă aplicație
are două plăci de re țea și se
comportă ca un gateway.

Fig. 6.3: Interfața aplicației FreePro xy

Fig. 6.4: Setarea unui gateway

Opțiunea Perm issions ofer ă selecția unui serviciu Proxy și a drepturilor ce pot fi
oferite diver șilor utilizatori. Pornirea serverului P roxy se execut ă prin selectarea op țiunii
Start/Stop.
Odată executat ă, aplicația Proxy r ămâne rezident ă în mem orie și pornește
autom at la deschiderea calculatorului și inițializarea sistem ului de operare.
Pe celelalte calculatoare, care au acces prin acest proxy server trebuie realizate
câteva set ări. Astfel din Control Panel avem Internet Options, Connections și apo i Lan
Settings unde trebuie bif ată opțiunea de folosire a unui server Proxy și introdus ă adresa
IP îm preuna cu portu l de acces al acestuia.
63

Securitatea siste melor informatice

6.1.5 Filtrele de pachete
Un astfel de sistem perm ite pachetelo r să
treacă din rețea către Interne t și invers, dar selectiv.
Pachetele s unt iden tificate dup ă tipul aplica ției care
le-a cons truit (une le inf ormații se afla în antet).
Antetul unui pachet TCP/IP con ține adrese le IP surs ă
și destinație, porturile s ursă și destinație și așa mai
departe. Dac ă se decide blocarea o ricărui trafic FTP,
de exem plu, software-ul de filtrare a pachetelor va
detecta toate pachetele care au num ărul de port 20 sau
21 și le v a interzice tre cerea.
Unii cred c ă se poate ocoli un sistem de
filtrare schimbând num ărul portului, luc ru posib il
într-o oare care măsura. Totu și, deo arece softw are-ul
de filtrare e ste reziden t în rețeaua d v, el poate d etermina către ce interfa ță se îndreapt ă
pachetu l și de unde provine. În consecin ță, chiar dac ă num erele de port TCP sunt
diferite, sof tware-ul d e filtrare poa te uneori s ă blocheze co rect traficul.
Se poate folosi software-ul de filtrare a pachetelor în m ai multe m oduri. Cel m ai
obișnuit, se blocheaz ă un serviciu, gen FTP sau Telnet. Se pot desem na de asem enea
mașini care trebu iesc împiedicate sau l ăsate să acceseze re țeaua – de exem plu, dacă se
constată ca o anum ită rețea a fost s ursa uno r problem e, se poate com anda software-ul
așa încât să respingă orice pachet d e la acea re țea. În unele cazuri se pot bloca to ate
serviciile, sau se poate perm ite num ai anum itor s ervicii, gen e-m ail, se tr eacă prin filtru. Fig. 6. 5: Pornirea serverul ui Proxy
6.2 Rețele VPN
O soluție alternativ ă o constitu ie o r ețea VPN (Virtua l Priv ate Network ).
Rețelele VPN sunt bazate pe o infrastructur ă accesibil ă în mod public, cum ar fi
Intern etul sau rețeaua de telefonie.
Ele prezint ă diferite f orme de criptare și au de obicei procedee so lide de
autentificare a utilizatorului.
În esență, VPN este o fo rmă de WAN; diferen ța este utiliza rea de rețele publ ice
mai degrabă decât linii p rivate (în chiriate). O re țea VPN are acelea și serv icii Intranet ca
și WAN, dar suport ă și servicii de acces la distan ță (liniile închiriate, d in cazul WAN,
nu se extind de obicei la case particulare și nu se aplic ă în ca zul călătoriilo r).
Un utiliz ator VPN se poate co necta prin tr-un ISP (Internet Service
Provider) în m odul obișnuit, elim inând costu rile leg ate de accesu l la distan te m ari.
Utiliz atorul poate ini ția o cerere "tunnel" c ătre serverul destinație. Serverul
autentif ică utilizatorul și creează celalalt cap ăt al "tunelu lui".
Softul VPN crip tează datele, le for matează în pachete IP (pe ntru com patibilita te
Intern et) și le trim ite prin "tunel", unde sunt dec riptate la ce lalalt c apăt.
Exista câteva "tunneling protocol":
• Point-to-Point Tunnelin g Protocol (PPTP)
• Layer 2 Tunneling Protocol (L2TP)
• IP security (IPsec)

64

Cap. 6 – Secu ritatea rețelelor de calculat oare
6.2.1 Point-to-P oint Tunneling Proto col (PPTP)
Este rezultatul cooper ării dintre m ai multe firm e (3Com , US Robotics, Microsoft
etc). Utilizatorii pot s ă se conectez e telef onic (d ial-in) la f urnizoru l de servic ii Internet
(ISP) loca l și apoi să se conecteze securizat pr intr-un tunel virtual la re țeaua corpora ției
lor.
PPTP este un protocol orientat pe modelul clien t/server , proiectat special
pentru asigurarea de tuneluri virtuale prin re țele IP utilizând PPP și nivelul 2. PPTP
suportă mai multe conexiuni PPP pr intr-un singur tunel PPTP . Aceste tuneluri
virtuale sunt denum ite în general rețele vir tuale priva te (VPN – Virtua l Priv ate
Networks).

Fig. 6. 6: Structura PPTP
Cea m ai uzuală implem entare este de a oferi serviciul prin un punct de
prezență (Point of Presence – POP ) dial-up .
După ce conexiunea fizic ă a fost stabilit ă și utiliza torul autentif icat, PPTP se
bazează pe PPP pentru crearea diagram elor. Apoi PPTP încapsuleaz ă pachetele P PP
pentru trans misia prin tu nelul IP.

Canalul de control separat
PPTP folose ște două canale pentru a suporta conexiunea:
• un canal de date
• un canal de control – ru lează peste legătura TCP, portul 1723. Acest canal
conține inf ormații referitoare la starea leg ăturii și mesaje de m anage ment.
Mesajele de m anage ment sunt res ponsabile cu stabilirea, gestionarea și
închide rea tunelulu i PPTP.

Suportul pentru mai multe protocoale
O facilitate interesanta a PPTP este suportul pentru protocoale gen NetBEUI,
IPX sau AppleTalk. Deoarece PPT P este un protocol de n ivelul 2, el in clude și un antet
de m ediu de transm isie care îi perm ite să opereze prin Ethernet sau conexiuni PPP.

Autentifica rea și securitatea date lor
Cripta rea și autentif icarea date lor nu fac parte d in PPTP. Acesta se b azează pe
funcțiile protocolul PPP.
Tipuri de tuneluri PPTP
Calculatorul utilizatorului va determina cap ătul tunelulu i:
• fie un server de acces de la distan ță (Remote Access Ser ver – RAS) al
ISP-ului ,
65

Securitatea siste melor informatice
• fie chiar calculato rul res pectiv.
Există tuneluri voluntare și tuneluri obliga torii.
Într-un tunel voluntar, utilizatorul ini țiază conexiunea PPTP c ătre un calculato r
din corpora ție. În acest caz, I SP nu trebuie decât s ă asigure servicii IP elem entare. Dac ă
ISP asigur ă un server R AS, clientul are nevoie doa r de PPP. În orice caz, utilizatorul nu
are con trol asupra tune lului.
În cazul tun elurilor ob ligatorii, avantaju l este că folosirea I nterne tului poate f i
controlată de corpora ții; de asem enea, au capacitatea d e a grupa traficul, m ai mulți
clienți PPP putând fi grupa ți într-o singur ă conexiune PPTP c ătre Intranetul com paniei.
6.2.2 Layer 2 Tunneling Protocol (L2 TP)
Este asem ănător cu PPTP, com binând PPTP cu protocolul Layer 2 Forw arding
(L2F) de la firma Cisco. Avantaju l este că poate fi com patibil cu alte m edii de transf er,
precum ATM, și cu a lte rețele pe baza de pachete, gen X.25.
L2F
La fel ca și PPTP, L2F a folosit P PP ca suport pentru asigurarea conexiunii
inițiale și a servic iilor precum autentif icarea. S pre deosebir e de PPTP, L2F a f olosit
Terminal Access Contro ller Access -Control Sys tem (TACACS) – protocol brevetat de
Cisco, care ofer ă auten tificare, au torizare și adm inistrare.
L2F folose ște și el definiții de conexiuni tunel. S uportă și un nivel suplim entar
de auten tificare. L2F ofer ă autentificare la nivel de gateway sau firewall.
Suportul pentru IPsec
IPsec difer ă de celelalte servicii pentru c ă este o specifica ție deschis ă care
suportă nu n umai autentificarea, dar și secu ritate a.
Ca și PPTP, L2TP apeleaz ă la PPP pentru stabilirea conexiunii. L2TP se
așteaptă ca PPP s ă stabilească conexiunea fiz ică, să facă autentificarea ini țială, să
creez e datagramele și, după terminarea sesiu nii, să înch idă conexiunea . Dar L2TP
va com unica cu celalalt nod pentru a determ ina dacă nodul care face apelu l este
autorizat și dacă punctul final dore ște să suporte conexiune L2TP. Dac ă nu, sesiunea
este închis ă.
Ca și PPTP, L2TP define ște două tipuri de m esaje:
• de date
• de control – folosite pentru a stabili și menține tunelu l virtual și pen tru a
contro la tran smisia și recepția datelor.

Spre deoseb ire d e PPTP, care necesit ă două canale, L2TP com bină canalele de
date și de control într-un si ngur flux. În tr-o rețea IP, acest lucru se pre zintă sub form a
împachetării datelo r și a m esajelor în tr-o da tagrama UDP.
Datele utile constau în e sență din pachetul PPP, m inus ele mentele de încadrare
specifice m ediului de transm isie. Deoar ece L2T P este de nivel 2, el trebuie s ă încludă
un antet pentru m ediul de transm isie cu scopul de a-i indica nivelului superior m odul î n
care trebu ie transm is pachetu l. Aceasta tr ansmisie poate avea lo c pe Ethernet, re țele
frame relay , X.25, ATM , sau prin leg ătură PPP inițială.
Pentru reducerea congestion ării rețelei, L2TP suport ă controlul fluxului .
Acesta este implem entat într-un concentra tor de acces L2TP (L2TP Acc ess
Concentrator – LAC), care func ționează ca serv er de acces la re țea, și un server L2 TP
de acces la re țea (L2TP Network Access Server – LN S), care are rolul de a asigura
66

Cap. 6 – Secu ritatea rețelelor de calculat oare
accesu l la rețeaua co rporației. Mes ajele de control con țin inf ormații privind ra tele de
transm isie și param etrii zonelor tampon. Comunicându- și recip roc aceste inform ații,
serverele L AC și LNS pot controla fluxul de date.

Fig. 7: Struc tura L2TP

O altă metodă pentru reducerea înc ărcării rețelei es te co mpresia anteturilo r
pachetelor.
L2TP suport ă tot două clase de conexiuni, într-o m anieră asemănătoare cu
PPTP: tuneluri voluntare și obligato rii.
6.2.3 IPsec
Deoarece protocolu l TCP/IP nu ofer ă nici un fel de protec ție, au apărut mai
multe m etode de a um ple aces t gol. De aceea, s -a lucrat la u n set de protocoale num ite
IPsec. Docum entele pentru aces te standard e au fost gândite pentru standardul IPv 6
(publicate în 1995), dar au fost modificate pentru adaptarea lor la IP v4. Arhitectura
IPSec este com pusă dintr-un set de protocoale pentru autentificarea pachetelor (AH),
criptarea și/sau au tentificarea pachetelo r (ES P) și mecanism e pentru stabilirea
param etrilor conexiunilor (SA-Securi ty Associations) folosind IKE.
IPSec folose ște un algo ritm pentru schim barea cheilo r între părți, num it Interne t
Key Exchange (IKE), care perm ite calcu latoarelor s ă negocieze o cheie de sesiune în
mod securizat, folosind protocoa lele ISAKMP pentru crearea de Secu rity Associa tions
și OAKLEY bazat pe algoritm ul Diffie-Hellman pentru s chimbarea cheilo r între cele
două părți. IKE se poate folosi în conjunc ție cu Kerberos, cert ificate X.509v3 sau chei
preshared .
Authentication Heade r (AH) este ata șat fiecărei da tagram e și conține
semnătura sub for mă de hash HMAC cu MD5 sau HMAC cu SHA-1.
Encapsulated Security Payload (ESP) crip tează conținutul pachetelor în dou ă
moduri: transport (protejeaz ă doar con ținutul pachetului, nu și heade r-ul) sau tu nel
(întreg pach etul es te criptat). ESP folose ște de asem enea hash-uri HMAC cu MD5 sau
HMAC cu SHA-1 pentru autentificare și DES-CBC pentru criptare.

Regulile de baz ă pentr u securiz area traficulu i cu IPSec
• Crearea unei h ărți a traficului în re țea ce include traficul care trebuie perm is sau
blocat, punctele surs ă destinație și informațiile d espre pro tocoalele f olosite.
• Se creeaz ă filtre care corespund traficului de re țea identificat anterior

67

7. Tehnici, servicii și soluții de securit ate pentru
Intranet-uri și port aluri
7.1. Introduc ere
Cele m ai multe aplic ații de secu ritate pot f i privite în term eni de servic ii
generale pe care le pot oferi. Aplica țiile de securitate sunt instalate pentru a oferi un
nivel de baz ă al secu rității sau func ții care îm bunătățesc s ecuritatea opera țională dintr-o
organizație.
Între serviciile de securitate sunt cuprinse și următoarele:
• auditarea – un m ecanism (de obicei un s istem de jurnalizare) care
înreg istrează evenim entele care pot s ă includă accesu l utilizatorilor și al
fișierelor;
• autentif icarea – un m ecanism prin care se id entifică în mod pozitiv un
utilizator prin cererea unor date de id entificare (parolă, smart card, am prente,
date biom etrice, etc.);
• autorizarea – resursele pe care un utilizator le poate accesa dup ă ce a fost
autentif icat;
• disponibilitatea – disponibilitatea unei resurse. Un atac îm potriva
disponibilit ății unui sistem este cunoscut su b num ele de D enial of Service
(DoS);
• confidențialitatea – protecția informa țiilor p rivate sau sens ibile;
• integritate – protecția datelor îm potriv a modificărilor neau torizate. Acest
lucru es te important m ai ales în in stituțiile financiare;
• nerepudiere – un mecanism de prev enire a frau delor p rin care se dovede ște
că un utilizator a executat o anum ită acțiune; To ate aces te aplica ții o bțin
nivelul dorit de protec ție prin utilizarea criptograf iei.

7.2. Criptografia
Criptogr afia este arta și știința de a ține secr ete datele, pr in utilizare a criptării
folosind un algor itm specif ic. Un algoritm (num it și cifru ) este un proces m atematic sau
o serie de func ții prin care se am estecă datele. Cei m ai mulți algoritm i utilizea ză chei,
astfel încâ t algor itmii pot să nu fie unici pentru o tranzac ție, iar detaliile algo ritmilor
utilizați să nu fie secrete.
Term enul cheie se referă la inf ormația neces ară pen tru a crip ta sau decrip ta
datele. Secu ritatea un ei chei es te deseori d iscutată în term eni de lungim e sau biți ai
acesteia, d ar o cheie de m ărime mare nu garanteaz ă securitatea de ansam blu a
sistem ului.
Există două tipuri generale de cript ografie, definite în func ție de tipul d e cheie
utiliza t: criptograf ia cu cheie secr etă și criptog rafia cu cheie public ă. Cele m ai multe
aplic ații utilizeaz ă principiile unuia sau a am belor tipuri de criptografie.
68

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
7.2.1. Criptografia cu cheie secret ă
Criptarea cu cheie secret ă, cunoscut ă sub num ele de cripta re s imetrică,
utilizea ză o singură cheie pentru a cripta sau decripta datele. Securitate a algoritm ului cu
cheie s ecretă este deseori legat ă de cât de bine este p ăstrată sau distribuit ă cheia secre tă.
Algoritm ii de chei secrete sunt îm părțiți în algoritmi de bloc (block cipher), care
proceseaz ă datele în b locuri măsurate la un m oment dat, sau algoritmi de șiruri (stream
cipher) , care proceseaz ă la un m oment dat un singur byt e. Algoritm ii de bloc exceleaz ă
în criptarea datelo r de lungim e fixă, în tim p ce algoritm ii de stream -uri sunt utiliza ți
îndeoseb i la crip tarea stream-urilor a leatoare de date, precu m traf icul de rețea în tre două
routere.
Între avantajele crip tării cu cheie sim etrică se n umără rapiditatea procesului de
criptare și simplitatea u tilizării aces tuia. Dezav antajele sun t legate de distribuirea în
siguranță a cheii s ecrete și de m anagem entului cheilor.
Printr e exe mplele ce le mai întâlnite de algo ritmi cu che ie simetrică cu c riptare în
bloc se num ără Data Encryption Standard (DES), International D ata Encryption
Algorithm (IDEA), CAST-128 (num it după inventato rii acestu ia – Carlisle, Ada ms,
Stafford, Tavares) și Blowfish. Printre algor itmii de crip tare a stream -urilor se numără
Ron 's Cipher 4 (RC4) și Software-Op timized Enc ryption Algo rithm (SEAL).
7.2.2. Criptografia cu cheie public ă
Criptografia cu cheie public ă sau criptografia as imetrică utilizează o pereche de
chei. Una d intre aceste chei, ch eia public ă, este distribuit ă și pub licată, în tim p ce
cealaltă cheie trebuie ținută secretă. Dată fiind numai cheia public ă, este imposibil să se
determ ine cheia s ecretă. Chi ar și cu cel m ai modern hardware , algoritm ii de generare a
cheilo r publice utilizeaz ă intensiv procesorul.
Datorită acestei problem e legate de rapiditatea algoritm ului, aceștia nu sunt
utilizați pen tru a cr ipta datele b rute. În schi mb, datele sunt crip tate cu un algoritm
simetric. Multe din tehnol ogiile prezentate utilizeaz ă o com binație de a lgoritmi cu cheie
publică și secretă în care crip tograf ia cu cheia public ă este utilizată pentru a secu riza
cheia sim etrică care este utiliz ată la crip tarea datelor brute. O cheie simetric ă care a fost
securizată utilizând un algoritm cu cheie public ă se num ește plic dig ital.
Cheile p rivate corespun zătoare che ilor pub lice trebu ie întotdeauna se curizate.
Unul dintre m ecanism ele utilizate pentru stocarea cheii p rivate este smart card -ul – un
dispozitiv electron ic asemănător unei c ărți de credit. Un smart card criptog rafic are
abilita tea de a gen era și stoca chei în el în suși, asigu rându -se astfel faptul c ă cheia
privată nu este expus ă către mașina locală. Smart ca rd-ur ile pot f i vulnerabile la atacuri,
dar oferă o mult m ai mare secu ritate f ață de stocarea cheilor private pe o m așină locală.
Printr e algoritmii cu ch eie pub lică se numără RSA, ElGamal și Diffie-Hellman
Hey Exchange.
7.2.3. Managementul cheilor și distribuția acestora
Una din problem ele fundam entale atât în sisteme de criptografie cu cheie
publică cât și în cele cu cheie secret ă este modalitate a de distribu ire și menținere a
cheilo r utiliz ate pen tru criptare și decriptare, în mod securizat.
Algoritm ii cu cheie secret ă depind de ob ținerea în m od securizat a cheii de c ătre
toate părțile im plicate. D e exem plu, e-m ail-ul nu este cons iderat un m ecanism securizat
de distribu ire a chei lor, deoarece ter țe părți îl po t intercep ta în tranz it.
69

Securitatea siste melor informatice
O altă problemă a cripto grafiei cu cheie s ecretă este faptul c ă nu este un sistem
la fel de scalabil ca și criptarea cu cheie public ă. De exem plu, în cazul în care se dore ște
trimiterea unui m esaj cr iptat cu o ch eie se cretă către m ai mulți destinatari, toți trebu ie să
prim ească câte o cheie p rin care să se poată decripta m esajul. Astf el, expedito rul treb uie
să se asigure de faptul c ă toți des tinatarii rec epționează cheia, c ă aceasta nu este
interceptată sau compromisă în tim pul tr anzitulu i și că este păstrată în mod securizat în
mom entul atingerii destina ției finale. Pentru fiecare m esaj nou trim is, procesul trebuie
să se rep ete, cu excep ția faptului când se dore ște reutilizar ea cheii inițiale. Reutiliz area
cheii or iginale sporește șansele ca aceas ta să fie com promisă, iar în cazul în car e se
dorește ca fiecare destin atar să aibă o cheie secret ă, sistem ul de distribu ție nu m ai este
gestion abil.
Prin utilizarea cripto grafiei cu cheie public ă are loc un singur schim b de chei
publice pen tru fiecare d estinatar, iar acest lucru poate fi u șurat prin plasarea acestora
într-un director precum Lightweight Directory Access Protocol (LDAP). Totu și, cheia
publică treb uie schim bată prin tr-un m ecanism de încred ere și secur izat, având grij ă ca
acea cheie s ă aparțină într- adevăr unei anum e persoane și nu unui ter ț care
impersoneaz ă persoana real ă.
7.2.4. Func țiile H ash
O funcție hash oferă un m ijloc de a crea un con ținut cu lungim e fixă prin
utilizarea unor date de in trare cu lung ime variabil ă. Acest lucru m ai este cunoscut și sub
numele de luarea unei ampren te a datelor, iar datele de ie șire sunt cunoscute sub
numele de message digest sau hash . În cazu l în care datele se m odifică după ce a fo st
calcu lată funcția hash , aceas tă valoare nu se va m ai potrivi la o a doua calculare. Prin
utilizarea unui algoritm hash cripto grafic, chia r și o m ică modificare precum ștergerea
sau adăugarea unei virgule dintr-o propozi ție va crea m ari diferențe într e valor ile hash .
De asem enea, la polul opus, având la dispozi ție un mesaj hash cripta t cu un algoritm
criptografic puternic, nu este posibil ă determ inare a mesajului ini țial.
Valorile hash rezolvă problem a integrității mesajelor, deoarece prin aceste valori
se poate verifica dac ă datele au fost sau nu m odifi cate.
Între algo ritmii de tip hash se numără Secure Hash Alg orithm 1 (SHA-1) și
Message Digest 5 (MD 5).
Securitatea general ă atât a cheilo r publice cât și a celor private poate fi discutat ă
și în te rmeni de lungime . O cheie de m ărime m are nu garanteaz ă securita tea de
ansam blu a sistem ului sau gestiun ea secu rizată a cheilor. De asem enea, aceasta nu
rezolvă alte problem e, precum generarea de num ere aleatoare (slaba utilizare a gene rării
de num ere aleatoare a com promi s im plem entare a SSL origin ală în browser-ul
Netscape). Lungim ea unei chei în sine indic ă num ai faptul c ă algoritmul de cr iptare
utilizat este unul puternic.
Trebuie notat faptul c ă lungim ea cheilor publice și secrete difer ă din punct de
vedere al m ărimii și securității. De exem plu, o cheie RSA de 512 bi ți oferă o securitate
mai mică decât o cheie de 128 bi ți de tip Blowfis h. Tabelul 7.1 rezum ă anum ite relații
agreate între cheile publice (RSA) și cele secrete, din punct de vedere al lungim ii.
70

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri

Tabelul 7.1
Relații agre ate într e lungimea che ii publice și cea a
cheii private
Lungime che ie sec retă (cifru bloc) Cheie RS A
56 biți 512 biți
80 biți 1024 biți
112 biți 2048 biți
128 biți 3072 biți
256 biți 1536 0 biți

7.2.5. Utilizarea semn ăturilor digita le. Riscuri de securitate
Prin sem narea de către Președintele SUA a The Electronic Signat ures in Global
and National Commerce Act în 30 iunie 2000, semn ăturile digita le au devenit un subiect
din ce în ce mai important. Term enul de semnătură electronic ă are interpret ări mai
largi, pornind de la semn ături crip tografice dig itale până la o im agine scanat ă a unei
semnături de m ână. În am bele cazuri, s e definește calea pentru u tilizarea legal ă a
semnăturilor digitale în c omunicațiile electronice.
Semnăturile digitale p ot aju ta la identificarea și autentificarea pe rsoanelo r,
organizațiilor și a calculatoarelor p rin In ternet, putând fi utilizate și pentru a verifica
integ ritatea datelo r după term inarea tranzitulu i.
Semnăturile digitale sunt asem ănătoare sem năturilor de m ână, care sunt u tilizate
zilnic pentru a identifica un individ într-o m anieră legală. De exem plu, în m omentul în
care o perso ană se decide asupra term enilor unui contract, includerea unei sem nături de
mână indică faptul c ă acea perso ană este de acord cu term enii acelui contract. În
continuare, persoana respectiv ă nu ar m ai trebui s ă nege faptul c ă a sem nat acel
docum ent sau că term enii acelui cont ract nu corespund dorin țelor lui, decât în caz de
falsificare. În m od asemănător, semn ăturile d igitale po t identifica p ersoana care a
semnat o tranzac ție sau un m esaj, dar spre deosebire de sem năturile de mână, o
semnătură digitală poate ajuta în ve rificarea faptu lui că un docum ent sau o tranzac ție nu
a fost m odifi cată față de starea original ă din m omentul sem nării.
Deosebirea principal ă față de sem nătura de m ână este aceea c ă, în cazu l în care
sistem ul a f ost im plem entat corespu nzător, semnătura digital ă nu se po ate fals ifica. În
condiții ideale, aces t lucru poate îns emna faptul c ă un m esaj sem nat digita l trebu ie să
aparțină persoanei a c ărei semnătură apare în m esaj. Incap acitatea de a nega faptul c ă un
mesaj sau o tranzac ție a fost executat ă (sem nată, în acest caz) se num ește nerepudiere .
Semnătura digital ă oferă trei servicii de secur itate de bază: auten tificare,
integ ritate și nerepudiere.
Semnăturile digitale ob țin un g rad ridicat d e secu ritate prin utilizarea a dou ă
tehnici de criptografie: criptarea cu cheie public ă și hashing. Crearea unei sem nături
digitale presupune hashing-ul datelor, apoi criptarea m esajului rezultat cu o cheie
privată. Orice persoan ă care deține cheia public ă corespondent ă va fi capabil s ă verifice
faptul că mesajul hash corespunde m esajului original.
Scopul sem năturilor digitale este acela d e a identifica în mod pozitiv expedito rul
unui m esaj și de a asigura faptul c ă datele nu au fost m odificate. Dar, exis tă și probleme
71

Securitatea siste melor informatice
care pot ap ărea în tim pul insta lării și utilizării aceste i tehno logii în m od securizat. De
exem plu, utilizarea unui algoritm de hash slab ofer ă o securitate sc ăzută în co mbinație
cu un algoritm de criptare put ernic. Din nefericire, sim pla vizualizare a u nui m esaj hash
nu este suficient ă pentru a detecta util izarea unui algoritm slab.
Înțelegerea riscu rilor as ociate cu utilizarea semn ăturilor digitale presupune
înțelegerea lim itărilor a ceste i tehno logii. Astf el, o sem nătură digitală, când nu este
legată de num ele utilizatorului printr-un cer tificat d igital, nu are n ici o sem nificație.
Distribu irea securizat ă a sem năturii digitale este singura garan ție a securit ății ei. În
cazul în care este nevoie de o distribuire la s cară a cheilor publice pentru verificarea
semnăturilor digita le, tre buie cre ată o bază de d ate la car e persoane le interes ate să aibă
acces de citire, în tim p ce scrierea trebuie res tricționată cu cele m ai puternice tehnologii.
Poate cel mai m are risc al sem năturilo r dig itale este a cordarea une i pre a mari
încrederi acestei tehnologii. Sem năturile de m ână pot f i falsificate sau f otocopiate într-
un nou docum ent, dar ac est lucru nu ar trebui s ă fie valabil într-un sistem de se mnături
digitale im plem entat în m od corespunz ător. O sem nătură de m ână poate să ofere o
certitudine pân ă la rup erea m odelului de înc redere. Prob lema cu sem năturile d igitale
este aceea c ă nu se știe încă unde și când nu se m ai poate vorbi de încrederea acordat ă
sistem ului.

7.2.6. Certificate digitale . Riscuri de securitate
O sem nătură digitală în sine nu ofer ă o legătură puternică cu o persoan ă sau o
entitate. Cum se poate ști că o cheie public ă utilizată pentru a crea o semnătură digitală
aparține într -adevăr unui individ anum e și că acea cheie este înc ă validă? Pentr u acest
lucru este n ecesar un mecanism care să ofere o leg ătură între cheie pub lică și un individ
real, func ție îndeplinit ă de certif icatele digitale .
Certificatele digitale pot oferi un nivel ridicat d e încredere asupra faptu lui că
persoana al c ărei num e apare pe ac el certificat are ca și corespondent o anum ită cheie
publică. Această încred ere es te realizat ă prin utilizarea unei ter țe părți, cunoscut ă sub
numele de Autoritate de Certifica re (Certificate Autho rity – CA). O auto ritate de
certificare s emnează un certificat în calitate de g arant p entru identitatea u nei perso ane al
cărei num e apare pe certificatul res pectiv. Formatul curen t accepta t pentru cer tificate
digitale este X.509v3.
Standardul X.509v3 definit în RFC 2459 desc rie un for mat agreat de certificate
digitale. Acest standard define ște elem entele unui certificat:
• Certificate Version – indică versiunea form atului unui certificat;
• Serial Number – un număr unic asignat de c ătre autoritatea de certificare,
utilizat pentru urm ărirea certificatelo r;
• Signature – identif ică algoritmul de criptare și funcțiile de tip message digest
suportate de CA;
• Issuer name – numele emitentului (al CA);
• Period of V alidity – datele în tre care certific atul este valid. Aceast ă perioadă
nu exclude ca certificatul s ă fie revocat;
• Subject – numele proprie tarului ce rtificatu lui;
• Subject's Public Key Info – cheia p ublică și algoritm ul asociat cu câmpul
Subject;
72

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
• Issuer Un ique ID – un câm p opțional utiliza t pentru a id entifica emitentul
certificatu lui sau auto ritatea d e cert ificare. Utilizarea aces tui câm p nu este
recom andată în RFC 2459;
• Extension s – câmp opțional u tiliza t pentru exten sii propr ietare. Aces t câmp
nu este definit dar cuprinde articole precum : alte denum iri ale subiectului,
informații pentru utiliza rea cheilor și punctele de distribu ție a listelor de
revocare a certificatelor (Certi ficare Revocation List – CRL);
• Encrypted – acest câmp con ține sem nătura în sine, iden tificatorul
algoritm ului, hash-ul securizat al celorlalte câm puri din certificat și o
semnătură digitală a hash-ului.

Form atul certificatulu i digital este relativ u șor de înțeles, dar schim bul de
certificate între persoane poate ridica anum ite dificult ăți. Asigurarea faptului c ă un
certificat ap arține unui utilizator anum e este dific il de realizat. De exem plu, într-o
organizație pot exista mai multe persoane cu num ele Ioan Popescu, dar num ai unul
dintre ei este utilizatorul vizat al certificatulu i.
Certificatele necesit ă mijloace de gestionare a cre ării acestora, dis tribuirea lor,
stocarea cen tralizată, revocarea, back up-ul ch eilor și actualizarea aces tora. Acest sis tem
de m anagement este cunoscut sub num ele de infrastructura de chei publice ( Public Key
Infras tructu re – PKI).
O inf rastruc tură de chei publice este o arhitectur ă de securitate creat ă pentru a
facilita instalar ea tehno logie i de chei pub lice. Între co mponentele unui PKI se pot
număra un depozit de certificate (de obicei un serviciu d irector compatib il LDAP),
certificatele digitale, listele d e revocare a cert ificatelo r (CRL), sof tware -ul pen tru ac este
aplic ații, precum și aspectul um an al acesto r proceduri.
O PKI cuprinde câteva servicii de baz ă de securitate între care se num ără
autentif icarea utiliza torilor, conf idențialitate a și integ ritatea, ajutând de asem enea la
implem entarea nerepud ierii.
O autoritate de certif icare este o component ă a infrastructu rii generale de chei
publice și este o com ponentă critică pentru o im plementare la scar ă a acestei
infrastru cturi. Funcția principa lă a unei au torități de cer tificare e ste aceea de a certifica
faptul că perechea cheie public ă / cheie privat ă aparține în tr-adevăr unui individ anum e.
Obținerea certificatelor digitale se p oate face în m ai multe moduri, în func ție de
scopul acestora. De exem plu, se poate utiliza Micro soft Certifica te Service s din
Windows 2000/2003 pentru a inst ala certificate auto-em ise.
O altă opțiune este ob ținerea unor certificate de la un distribuitor de certificate.
Unul dintre cei m ai ma ri distribuitori este VeriSign. Acesta ofer ă certificate pen tru
S/MIME, S SL (client și serv er), Server Gated Cryptography (SGC) pentru institu ții
financiar e, certificate d e tip Authen ticode pentru publicarea de software, etc.
Certificatele digitale pot reprezen ta un mecanism puternic de autentificare, în
special în mom entul în care sunt stocate pe smart card-uri. Dar, pentru ca certificatele
digitale s ă reprezinte o securitate adecvat ă, trebuie rezolvate m ai întâi problem ele de
încreder e. De exem plu, o autoritate de certificare trebu ie să posede m ecanism e de
securita te puternice pe ntru a identif ica în m od pozitiv to ți participanții care do resc
asem enea certificate. În trebarea "cât de bine id entifică o autoritate de certificare un
viitor poses or?" de termină securitatea de ansam blu a in frastructurii de chei publice.
Dacă scopul unui certificat este de a lega un individ de o sem nătură digitală,
cum se poate cunoa ște că certificatul apar ține într -adevăr persoanei reale și nu unui
73

Securitatea siste melor informatice
impostor? P oate că certificatul apar ține unui utilizator neinten ționat cu acela și num e ca
și al utiliza torului re al. Multe certificate se bazează pe numele care a par în câm pul
Subject pentru a iden tifica posesoru l.
În cazu l în care func ția unei au torități de certificare este aceea d e a certifica
identitatea unui individ și de a oferi se rvicii de nerepudiere, acest lucru ridic ă și
problem e de răspundere sau obliga ție.
O altă problemă cu certificatele dig itale es te reprezentat ă de faptul c ă listele de
revocare a certificatelor (CRL) sunt ve rificate foarte r ar, inc lusiv de c ătre browser-ele
Web. Un certificat po ate fi revo cat d in mai multe m otive, în tre care se numără
compromiterea cheii, com promiterea auto rității de certificare sau o schim bare a
autorității de certificare. Problemele legate de distribuirea listelor de revocare a
certificatelo r nu au fost înc ă rezolvate pe deplin.

7.2.7. Autentificarea Kerb eros V5
Kerberos V5 , protocolul principal de securita te pentru autentif icare într-un
domeniu, verific ă atât id entitatea utilizato rului cât și a se rviciilor de r ețea. Aceast ă dublă
verificare este cunoscut ă și sub nu mele de autentif icare recip rocă. Acest protocol,
dezvoltat ini țial la MIT, este cap abil să ofere servicii putern ice de auten tificare într-un
mediu de calcul distribuit. Totodat ă, prin includerea lui ca pr otocol de autentificare
implicit în tr-un dom eniu Windows 2000/2003, a fost accelerat pro cesul de dezvoltare a
aplic ațiilor bazate p e acesta.
Modelul Kerberos se bazează pe faptul c ă aplicația clien t și aplicația server nu
trebu ie neapărat să-și acorde recipro c încredere, ci am bele trebuie s ă acorde încredere
unui centru de distribu ție a che ilor (Key Distrib ution Center – KDC). Kerberos ofer ă un
sistem de m esaje crip tate num ite tichete, care as igură în m od securizat încred erea
recip rocă dintre dou ă mașini din re țea. Utilizând Kerberos, parolele nu m ai sunt
transm ise în rețea, nici chiar în form at criptat. În cazul în care un tich et Kerberos este
interceptat, acesta r ămâne protejat deoare ce este crip tat.
Odată ce o m așină client ob ține un tichet către un anum e server, tiche tul este
păstrat p e mașina loc ală până la expirare, făcând astfel Kerberos un sistem de
autentificare foarte eficient. În func ție de im plem entare, un tichet Kerberos expir ă de
obicei dup ă opt ore. În mod i mplicit Kerberos u tilizează criptarea cu ch eie sim etrică. O
implementare Kerberos standard are de obicei urm ătoarele com ponente:
• Principal – un calculator, utilizat or sau entitate care va fi autentificat ă;
• Realm (dom eniu în W indows 2000/2003) – o grupare logic ă de obiecte de tip
principal care va fi protejat ă de Kerberos. Toate c onturile utilizatorilor și
resurs ele p rotejate rezid ă în interiorul unui realm Kerberos;
• Key Distribution Center (KDC) – parte a din implem entarea Kerbe ros care
autentif ică obiectele de tip principal. KDC distribuie chei se crete și mediază
comunicația securizat ă între un calculato r client și resu rsele din rețea. Cheile
secrete sun t stocate în Key Distribution Center;
• Ticket Gra nting Service (TGS) – ofer ă tich ete de tip sesiune p entru
accesarea altor resu rse dintr-un rea lm Kerberos. De obicei TGS ruleaz ă în
Key Distribution Center;
• Ticket Gran ting Ticket (TGT, sau tichet utilizat or în W indows 2000/2003 ) –
un jeton de securitate care verific ă faptul că o entitate a f ost autentif icată.
74

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
TGT asigur ă faptul că utiliza torii n u mai trebuie s ă rein troducă parola dup ă
un login ini țial, până la expirarea tichetului.
• Session Ticket (ST, sau tichet de serviciu în W indows 2000/2003) – un jeton
de securitate care perm ite unui obiect de tip principal s ă acceseze res urse
protejate. Pentru acces area o ricărei aplica ții care utilizea ză Kerberos este
necesar un tichet de s esiune valid.
7.2.7.1. Cum func ționează Kerberos V5
Mecanism ul de securitate din Kerberos V5 em ite tichete pentru accesarea
servic iilor d e rețea. Aceste tichete con țin da te criptate, inclusiv o paro lă crip tată care
confirmă identitatea u tilizatoru lui față de serv iciul accesat.
Un serviciu im portant în Kerberos V5 este Key Distribution Center (KDC) care
rulea ză pe f iecare controler de dom eniu parte a Active Directory, în care se stocheaz ă
toate p arolele clien ților precum și alte informații.
Procesul de autentificare Kerberos V 5 urmează pașii:
• utilizatorul unui sistem client, utilizând o parol ă sau un sm art card, se
autentif ică față de KDC;
• KDC em ite clien tului un tiche t de tip Ticket Gran ting Ticket. Sistem ul client
utilizea ză acest jeton TGT pentru a accesa Ticket Granting Service (TGS),
care es te parte a m ecanism ului de autentificare d intr-un contro ler de
domeniu;
• TGS em ite un tiche t de s erviciu către clien t;
• clien tul pr ezintă acest tic het serv iciului de rețea accesat. Tich etul de serviciu
dovedește atât iden titate a utiliza torului către serv iciu, câ t și a servic iului față
de client.

În W indows 2000/2003 serviciile Kerberos V5 sunt instalate pe fiecare controler
de dom eniu, iar clien tul Kerberos es te instalat pe fiecare s tație de lucru și server.
Fiecare con troler de do meniu se co mportă ca și un Key Distribution Center. Un
clien t utiliz ează Domain Name Se rvice (DNS) pentru a localiza cel m ai apropiat
controler de dom eniu, care va func ționa ca și KDC preferat pentru utilizator în timpul
sesiunii de logon. În cazul în care K DC nu mai este disponibil, sistem ul localizeaz ă un
KDC alterna tiv, pen tru autentif icare.
7.2.7.2. Riscuri de securitate în Kerberos
Princip ala slăbiciune a Kerberos es te aceea c ă rămâne vulnerabil la atacurile
date p rin "g hicirea" parolei. Da că utilizatorul alege o parol ă "slabă", este posib il ca
tiche tul să fie colectat și decriptat, impersonându-se astfel utilizatorul. P arolele statice
sunt cel m ai mare punct de sl ăbiciune în orice s istem de sec uritate, deoarece utilizatorii
nu aleg de obicei parole greu de g ăsit. Prin mariajul tehnologi ei de criptare cu cheie
publică cu Kerberos se face un pas im portan t în în lăturarea ace stei s lăbiciuni.
De asem enea, Kerberos presupune f aptul că gazdele nu au f ost com promise. În
esență, Kerb eros este un model al g azdelo r cu relații de încredere (s igure) într-o rețea
nesigură. În cazul în care via ța tichetulu i este seta tă prea lung ă, protocolul devine
nesigur prin expunerea unui tichet de serviciu pentru o perioad ă de tim p prea m are. Iar
dacă viața tichetu lui este prea scurt ă, aceas ta poate av ea un impact negativ asupra
perform anțelor și utilizării.
75

Securitatea siste melor informatice
Utilizare a DES în Kerbe ros poa te fi de asem enea o prob lemă, deoarece DES nu
mai este considerat un algoritm sigur. Dar Kerberos perm ite și utilizare a altor algo ritmi
de criptare, m ai puternici, precum Triple-DES.
Alte r iscuri de secu ritate mai pot f i considera te și relațiile tranzitive de în crede re
și abilitate a de a îna inta tiche tele.
7.2.8. Autentificarea SSL/ TLS
Secures So ckets Layer (SSL), tehno logia care p ermite utilizarea certificatelo r
digitale, este un protocol di n nivel transport care ofer ă o securitate deosebit ă de tip end-
to-end, prin securizarea sesiunii di n punctul de origine pân ă în punctul destina ție.
SSL se refer ă în general la securitatea com unicării în tre două părți. Ace st lucru
poate în semna com unicarea dintre un browser Web și un server W eb, o aplica ție e-mail
și un server e-m ail sau chiar canalele de com unicație dintre dou ă servere. SSL poate de
asem enea să autentifice un server și, în m od opțional, un client. SSL a devenit astfel,
metoda de facto pentru securizarea com erțului electron ic prin Intern et.
SSL este u n protocol orient at pe conexiuni care necesit ă ca atât aplicația
clien t cât și serverul s ă cunoască acest protocol. În cazu l în care este necesar SSL la
nivelul unui server, aplica țiile care nu pot s ă utilizeze acest protocol nu vor putea
comunica cu acesta.
SSL oferă servic ii de s ecuritate p rintre care se nu mără:
• confidențialitate a (privacy),
• autentif icarea și
• integ ritatea mesajului.
SSL o feră integ ritatea mesajului prin utilizare a unei verif icări de se curitate
cunoscută sub num ele de codul de autentificare al mesajului (message authentication
code – MAC). MAC asigur ă faptul că sesiunile criptate nu s unt m odificate în timpul
tranz itului.
SSL ofer ă autentificarea serverului prin ut ilizarea tehnologiei de criptare cu
cheie pub lică și, în m od opțional, poate autentifica anum iți clienți prin necesitatea
existenței de certif icate d igitale la niv el de clien t. În practic ă, certificatele pentru clien ți
nu sunt disponibile pe scar ă largă deoarece nu sunt u șor portabile în tre mașini, po t fi
ușor pierdute sau distruse, fiind în trecut și dificil de insta lat în ap licațiile re ale. De
asem enea, multe site-u ri W eb au găsit satisfăcătoare din punct de vedere al securit ății
pentru cele m ai multe cazuri, com binația de S SL utilizat ă împreună cu un num e de
utiliza tor și o parolă.
Internet Engineering Task Force (IETF) este organiza ția responsabil ă pentru
dezvoltarea standardului SSL. Noul st andard este cunoscut sub num ele de Transport
Layer Secur ity (TLS), d ezvoltat in ițial de Netscape Communications Corporation. TLS
1.0 definit în RFC 2246, ofer ă îmbunătățiri minore f ață de S SL 3.0. În realitate TLS este
SSL 3.1
Noile îm bunătățiri cuprind: raportarea unui num ăr de versiune, diferen țe în
tipurile de protocoale, tipur i de mesaje de auten tificare, gen erarea che ilor și veri ficarea
certificatelo r. În plus, TLS elim ină suportul pentru algo ritmul Fortezza, o fa milie de
produse de securitate care cuprinde solu țiile de securitate Personal Computer Memory
Card International Association (PCMCIA). Deoarece TLS este un standard deschis,
este d e așteptat ca întreaga com unita te Inte rnet să coopereze pen tru îm bunătățirea
perform anței și securității aces tuia.
76

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
7.2.8.1. Legătura SSL-HTTP
Sesiunile Web standard utilizeaz ă HyperText Transfer Protocol (HTTP) pentru a
stabili can ale de com unicație prin rețelele TCP/IP. SSL a fost creat ca și un protocol de
securitate separat, care îmbun ătățește standardul HTTP.
Din punct de vedere logic, SSL se insereaz ă între protocolul aplica ție HTTP și
nivelul de conversa ție TCP, din punctul de vedere al TCP SSL fiind doar un alt nivel
protocol de nivel aplica ție. Deoarece SSL se com portă ca o îm bunătățire, adăugarea
SSL la protocoalele existente este sim plă, nem aineces itând rescrierea protocoalelor de
bază.
Din cauza acestu i desig n flexibil, S SL este cap abil să cripteze aproap e întregu l
trafic b azat pe TCP. Mai m ult, SSL a fost util izat pen tru a oferi s ecuritate la niv el de
sesiune pentru e-m ail (SMTPS, POP3S, IMAPS), news (NNTPS), L DAP (LDAPS) ,
IRC (IRCS), Telnet (Telnets), FTP (FTPS). Dar SSL nu poate s ă îmbunătățească
transm isiunile pr in UDP.
În general traficul W eb bazat pe SS L este configurat s ă utilizeze po rtul 443 î n
locul portului standard 80. Browser-ele W eb vor crea o sesiune SSL prin utilizarea
HTTPS în locul HTTP.
7.2.8.2. Cum func ționează SSL
Pentru func ționarea unei sesiuni bazat ă pe SSL, trebu ie luate în calcul o serie d e
elem ente. Astfel, serverul W eb necesită un ce rtificat dig ital împreun ă cu o cheie priv ată
corespunz ătoare.
Cel m ai mare distribuito r de certificate pentru server este V eriSign. Ob ținere a și
instalarea unui certificat SSL de la Ve riSign presupune un proces în m ai mulți pași:
generarea unei cereri, trim iterea unui Certificate Signing R equest (CSR), com pletarea
unui form ular prin care se autentific ă un utilizator s au o afacere, ins talarea
identificato rului de serv er și activarea SSL pentru serv erul W eb. Autentif icarea pr in
VeriSign presupune și verificarea datelor trim ise de organiza ția care necesit ă un
certificat.
Înain te de stabilirea un ei sesiuni SS L, clientu l trebuie s ă cunoască de asem enea
acest p rotocol. În m omentul ex istenței elem entelo r necesa re, clientu l și serverul pot
stabili o con exiune securizat ă.
Procesul p rin care s e stabilește o conexiune între un client și un se rver (d e
exem plu cump ărare online), se desf ășoară în ma i mu lți pași. SS L utilizeaz ă o
combinație de crip tări cu chei pub lice și secrete. Datele b rute al e unei sesiuni SSL sunt
întotd eauna crip tate cu cheia secret ă, fiind m ult mai puțin consum atoare de resurse din
punct de vedere al proces ării decât criptarea cu cheie public ă. Protocolul SSL/TLS
suportă mai mulți algoritm i de crip tare cu cheie secret ă, printre care DE S, Triple-D ES,
IDEA, RC2 și RC4. Algoritm ii cun oscuți pentru schim barea cheilor cu prind Diffie-
Hellm an și RSA.
O sesiune S SL cuprinde urm ătorii p ași:
• ClientHello – în acest pas, clientul trim ite un m esaj către server
(Clien tHello ) cerând o pțiuni de conectare SSL, între care num ărul de
versiune al SSL, set ările cifrului, date generate în m od aleator care stau la
baza calculelor criptog rafice și metoda de com presie u tiliza tă;
• ServerHello – după primirea m esajului ClientHello, serveru l ia la cuno ștință
recepția prin trim iterea unui m esaj ServerHello care con ține numărul de
77

Securitatea siste melor informatice
versiune al protocolului, set ările cifrului, date genera te aleator, m etoda de
compresie și identificatorul de sesiune;
• ServerKey Exchange – imediat dup ă trimiterea ServerHello, serve rul trim ite
un m esaj de tip ServerK eyExchange c ătre clien t care con ține certificatul cu
cheia pub lică. În cazu l în care s unt necesare și certificate d in partea
clienților, este generat ă o cerere în acest sens ;
• ServerHello Done – după ServerKeyExchange, serverul trim ite un mesaj
final prin care se indic ă finaliza rea negocie rii inițiale;
• ClientKeyExchange – după recepționarea m esajulu i de tip
ServerHelloDone, clientul r ăspunde cu m esajul ClientKeyExchange care
constă în ch eia s imetrică a se siunii, crip tată cu cheia public ă a serverului,
prim ită în pasul 3;
• ChangeCipherSpec – în aces t pas clie ntul trimite c ătre server un m esaj de
tip ChangeCipherSpec în care specific ă ce s etări de securitate ar trebui
invocate /utilizate;
• Finished – clientu l trim ite m esajul Finish ed, prin c are se per mite
determ inare a finalizării cu succes a negocierii și dacă opțiunile de s ecuritate
au fost sau n u com promise în orice s tagiu anterio r;
• ChageCipherSpec – serveru l trim ite către client un m esaj de tip
ChangeCipherSpec, prin care s e activ ează opțiunile de securitate invocate;
• Finished – serveru l trim ite un m esaj de tip Finished, perm ițând clientului s ă
verifice op țiunile de s ecuritate activate. Dup ă trim iterea aces tui m esaj,
negocierea este finalizat ă, iar conexiunea este stabilit ă. În continuare, toate
comunicațiile sunt criptate, pân ă la te rminarea sa u finaliza rea sesiunii.
7.2.8.3. Performan ța SSL
Dacă SSL ofer ă o asem enea secu ritate, de ce nu s e criptează întregu l trafic? De și
este o idee bună, în procesul de criptare și stabilire a un ei co nexiuni SSL este im plicat și
foarte m ult traf ic ad ițional, din cauza naturii prot ocolului HTTP care creeaz ă o nouă
sesiune pen tru fiecare ob iect ceru t dintr-o pag ină Web.
De exem plu, într-o sim plă tranzacție în care browser-ul cere o singur ă pagină de
text cu p atru im agini, generea ză cinci cereri GET (una pentru pagin ă și patru pentru
imagini). Prin utilizarea SSL, pentru fiecare din aceste ses iuni trebu ie negociate chei
separa te de crip tare. Pentru a înr ăutății și mai mult lucru rile, utilizato rii frustrați de
timpul de răspuns reîncarc ă pagina în browser-ul Web (refresh), generând și mai multe
conexiuni S SL.
Pentru îm bunătățirea perfor manțelor SSL se pot aplica urm ătoarele:
• utilizarea d e acceleratoare de cripta re hard ware, proces care nu necesit ă
rescrierea paginilor W eb sau achizi ționarea de servere ad iționale;
• utilizarea de pagini SSL sim ple, cu cât m ai puține im agini; utilizare a SSL num ai
pentru anum ite pag ini Web selectate, precum acelea prin c are se trim it inform ații
privitoare la c ărțile de credit; cache-ingul conexi unilor SSL p ermite de asem enea
îmbunătățirea perform anțelor, deoarece stab ilirea unei noi conexiuni necesit ă de
cinci ori m ai mult tim p decât reconectarea la o sesiun e păstrată în cache. Cu
toate acestea, activarea s esiunilor SSL în cache este dificil de implem entat – dacă
timpul de expirare este stabilit prea m are, serverul poate consum a prea m ultă
memorie prin p ăstrarea conexiun ilor neu tilizate. De asem enea, cache-u l
78

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
conexiunilor nu ar putea fi dezirabi l din punct de vede re al securit ății paginilor
dintr-un site. De exem plu, o aplica ție bancar ă online ar trebuie s ă favorizeze
securitatea și să nu activ eze cach e-ingul conexiu nilor.
7.2.8.4. Riscuri de securitate în SSL
SSL nu ofer ă nici o protec ție în afara sesiun ilor, iar s erverele W eb care perm it
utilizarea SSL nu pot s ă ofere protec ție pentru date care sunt stocate în for mat text în
server.
SSL nu ofer ă protecție împotriva atacurilor bazate pe W eb precum exploatarea
diverselor puncte slabe prin script uri CGI. De asem enea, SSL nu ofer ă nici un
mecanism pentru con trolarea drep turilo r de securitate (ceea ce îi este perm is unei
persoane s ă facă după autentificarea pe un server).
În cele d in urmă, SSL nu protejeaz ă împotriva atacurilor de tip Denial of
Service și rămâne vulnerabil la analiza traficului. Pe ntru a oferi un ni vel de secu ritate
adecvat, serverele care lucreaz ă cu SSL ar treb ui să suporte criptarea pe 128 bi ți și o
cheie pub lică pe 1024 bi ți.
Certif icatele la n ivel de serv er auto-sem nate pot of eri se curitate, dar nu și
autentificare. Un certificat auto-sem nat nu este considerat sigur de c ătre mașina client
fără a execu ta anum iți pași adiționali.
7.2.9. Autentificarea NTLM
Într-un m ediu de rețea, NTLM este utilizat ca și protocol de autentificare pentru
tranz acțiile dintre dou ă calculatoare în care unul dintre ele ruleaz ă Windows NT 4.0 s au
mai mic iar celălalt W indows 2000 sau m ai mare.
În exem plele urm ătoare se utilizeaz ă NTLM ca m ecanism de auten tificare:
• un client W indows 2000 sau W indows XP Professional care se autentif ică într-
un controler de dom eniu W indows NT 4.0;
• o stație de lucru client W indows NT 4.0 Workstation care se autentific ă într-un
domeniu W indows 2000 sau W indows 2003;
• o stație de lucru W indows NT 4.0 W orkstation care se autentific ă într-un
domeniu W indows NT 4.0;
• utilizatorii dintr-un dom eniu Wi ndows NT 4.0 care se autentific ă într-un
domeniu W indows 2000 sau W indows 2003.

Pe lângă acestea, NTLM este pro tocolul d e autentificare pentru calcu latoarele
care nu particip ă într-un dom eniu, precum stațiile de lucru sau serverele independente.
7.2.10. Compara ție Kerberos – NTLM
Pe măsură ce a crescut popularitate a Windows NT 4.0, a crescut și inte resul de
securizare a sistem ului, iar prin ad ăugarea au tentificării Kerberos în W indows 2000,
Microsof t a crescu t în mod sem nificativ f acilitățile sistem ului de operare. În versiunile
Windows 2000/2003 NT LAN Manager (N TLM) este oferit num ai pentru
compatibilitate înapoi, cu W indows NT, și ar trebui dezactivat îndat ă ce clienții din
rețea se pot autentifica utilizând Kerberos.
Kerberos are anum ite beneficii față de NTLM. Astfel, Kerberos se bazează pe
standarde în vigoare, deci perm ite W indows 2000/2003 s ă inter acționeze cu alte re țele
care utilizeaz ă Kerberos V5 ca m ecanism de aute ntificare. NTLM nu poate oferi aceast ă
79

Securitatea siste melor informatice
funcționalitate deoarece este un protocol prop rietate a sis temelor de operare de la
Microsoft.
Conexiunile la serverele de aplica ții și fișiere sunt m ai rapide în m omentul
utilizării au tentif icării bazate de Kerberos, d eoarece serverul Kerberos trebuie s ă
verifice num ai datele oferite de client pentru a determ ina dacă îi perm ite accesul.
Aceleași date of erite de client po t fi utiliza te în întreaga r ețea, pe întreaga durat ă a
sesiunii de logon. În m omentul utiliz ării NTLM, aplic ațiile și serve rele trebuie m ai întâi
să contacteze un controler de dom eniu pentru a determ ina dacă clientului îi este perm is
accesu l.
Autentif icarea Kerberos este of erită atât pentru client cât și pentru server, în
timp ce NTLM ofer ă numai autentif icare pentru clien t. Astf el, clienții NTLM nu știu cu
siguranță dacă serv erul cu care com unică nu este unul fals.
Kerberos ofer ă și posibilitatea relațiilor de încredere, fiind b aza pen tru relațiile
tranzitive dintre dom enii din W indows 2000/2003. O rela ție tranz itivă de încred ere este
o relație în două sensu ri deoarece es te creată o cheie inter-d omenii, partajat ă de ambele
domenii.
Există și considerații asupra faptului c ă implementarea Kerberos a M icrosoft nu
este un a standard, m ai ales d in cau za m odificărilor și exte nsiilo r care au f ost adu se
protocolului. Aceste m odificări priv esc m ai ales utilizarea Kerberos cu tehnologia de
criptare cu cheie public ă, făcând astfel posibil ă autentificarea prin sm art card, care es te
mult m ai sigur decât o parol ă statică.
7.2.11. SSH
UNIX este un sistem de opera re so fistica t și matur care a f ost dezvo ltat de Bell
Labs la începutul anilor 1970. Pe m ăsura trecerii anilor, Un ix a avu t partea sa de
problem e de securitate, multe dint re ele fiind rezolvate. În ge neral, Unix este cons iderat
a fi un sistem de operare sigur și stabil când este configurat în m od corect. Cu toate
acestea, exis tă o serie de protocoale care continu ă să defăimeze securitatea sistemelor
Unix, printre aces tea n umărându-se Telnet, F TP precum și faimoasele com enzi de la
Berkley de tip „r*" (r cp, rsh, rlogin). Program e și protocoale nesigure continu ă să ofere
acces ușor la sis tem atât pent ru administra tori câ t și pentru utiliza tori răuvoitor i. Ace ste
protocoale r ămân vulnerabile în m are parte datorit ă faptului c ă datele de auten tificare
sunt tr imise prin re țea sub for mă de text clar, acesta sem nificând că oricine poate s ă
obțină numele de utilizator și parola, exploatând apoi un serviciu prin im personarea
utiliza torulu i legitim.
Dezvolta t de Tatu Ylö nen în 199 5, Secure Shell (SSH ) oferă servicii de
securitate la nivel de sesiune precum și confi dențialitatea datelor în re țele nesigure,
oferind o înlocuire sigur ă a com enzilor rsh, rlog in, rcp, telnet, rexec și ftp. Securita tea
SSH este dependent ă de criptarea sesiuni i de lucru de tip end-to-end între un client și un
server. SSH are de asemenea posib ilitatea să autentifice în mod sigur m așinile în ainte de
a trimite inf ormațiile de login.
SSH este utilizat în general pen tru a accesa un ca lculator de la distan ță și pentru
a execu ta com enzi. SSH ofer ă de asem enea securizar ea transferu lui de fișiere între
mașini prin executa rea copier ii securiz ate (SCP) și a transferului de fi șiere securizat
(SFTP). SSH poate ajuta de asemenea în se curizarea traf iculu i X11 prin tr imiterea
acestu ia printr-un tun el cripta t. În acest fel SSH a fost utilizat pen tru a defini o form ă
prim itivă de rețea privată virtuală între gazde.
80

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
Com ponentele SSH cuprind serverul (SS HD), clientul (SS H), copierea (SCP)
securizată a fișierelor și ssh-keygen – o aplicație utilizat ă pentru a crea chei pub lice și
priva te utiliz ate pen tru autentif icare a mașinilor.
SSH ofer ă facilități de baz ă pentru tran slatarea por turilo r, prin aceas ta
perm ițându-se utilizatorilor s ă creeze tun eluri pen tru p rotocoalele existente prin
conexiunile SSH existente. De exem plu, tran sferul de d ate prin POP (care în mod
norm al trim ite num ele de utilizator și parola s ub formă de text clar), pot fi securizate
prin SSH. Exist ă și lim itări ale translat ării p orturilo r, deoarece n ici interv alele de
porturi, nici porturile dina mice nu pot fi specificate.
Deși transla tarea portu rilor ajută în securizarea protoco alelor, p recum POP,
există și riscuri pr in ac tivarea a ceste i opțiuni – de exem plu, prin activarea unei conexiuni
SSH de ie șire se poate perm ite unui utilizator s ă traverseze u n firewall prin
transform area protocoalelor (tune luri) de in trare care nu sunt perm ise de firewall prin
sesiuni criptate SSH.
Utilizare a opțiunilor de autentificare a SSH protejeaz ă utilizato rii și mașinile
împotriva atacurilor de tip IP Spoofing, rutarea sursei IP, spoofing DNS, et c.
SSH const ă în trei nivelur i: nivelul p rotocolul de transport, nivelul de
autentificare precum și nivelul conexiune. Protocolul tr ansport este responsabil pentru
gestion area negocie rii cheilor de criptare, cererilor de regenerare a cheilor, mesajelor de
cereri de s ervicii precum și a m esajelo r de deconectare a serviciilor. Protocolul de
autentificare este respo nsabil pentru negocierea tipurilor de autentificare, verificarea
canale lor securiz ate înaintea trim iterii inf ormațiilor de au tentificare pre cum și pentru
cererile de modificare a parolelor. Protocolu l de conectare contro lează deschiderea și
închide rea canalelor pr ecum și a tra nslatării por turilo r.
Există două versiuni de SSH – v1 și v2, iar clien ți SSH exist ă pentru m ai multe
platform e – Unix, W indows, Machintosh, OS/2. Exist ă și versiuni de com ponente de
server pentru W indows NT/2000.
7.2.11.1. Autentificarea pri n SSH
SSH ofer ă câteva m ecanism e pentru autent ificarea u tiliza torilo r în f uncție de
versiune a SSH utilizat ă. Cea m ai slabă formă de au tentificare este realiza tă prin
intermediului f ișierelor .rhosts, aceast ă metodă nefiind recom andată a fi selectat ă
deoarece este foarte pu țin sigură.
Altă metodă de autentificare es te oferită de cripta rea prin RSA. Utilizând această
metodă, utiliza torul creează o pereche public ă/privată de chei prin utilizarea
program ului ssh-keyg en, cheia public ă fiind stocat ă în directorul p ărinte al utilizatorului.
În momentul în care clientul s e auten tifică în fața serveru lui, trim ite numele de utilizator
și che ia pub lică spre gazda de la d istanță. Serv erul retu rnează cheia d e sesiune criptat ă
cu cheia pu blică a utilizatoru lui. A ceastă cheie de sesiune va fi decriptat ă cu ch eia
privată a utilizatorului.
Metoda principal ă de autentif icare în SSH este prin interm ediul fișierelor .rhosts
combinată cu autentificarea RSA. Aceast ă metodă autentif ică clien tul și serverul și le
protejează împotriva atacuril or curente de tip IP Spoofing, DNS Spoofing, etc. Exis tă și
posibilitatea insta lării de TCPW rapper în locu l utilizării fișierelor .rhosts, existând astf el
un control mai m are asupra ut ilizato rilor care în cearcă să se co necteze la u n serviciu.
În cele din urm ă, unui utilizator îi poate fi cerut ă o com binație de num e de
utiliza tor / p arolă prin tr-un canal criptat. De asem enea, în diverse im plem entări exis tă
suport pentru Kerberos, S/KEY și SecurID.
81

Securitatea siste melor informatice
Stabilirea unei conexiuni SSH este ini țiată de com enzile slogin sau ssh, fapt care
duce la verificare auten tificării cu cheia public ă atât pentru server cât și pentru client
apoi fiind stabilit un canal de com unicație sigur.
7.2.11.2. SSH 1
Versiunea originală a SSH, versiunea 1, este distribuit ă în m od gratuit pentru
utiliza re necomercială, împreun ă cu codul surs ă. SSH1 are și variante m ajore (1.2, 1.3 și
1.5). Deși s-au descop erit câteva problem e de securitate, SSH este conside rat în
continuare sigur, dat ă fiind aten ția acordat ă metodei de aute ntificare și cifrului u tilizat.
De exem plu, SSH1 este vulnerabil la atacuril e prin in serarea datelo r, deoarece acesta
utilizea ză CRC pentru verificarea integrit ății datelor. Dar utiliza rea algoritm ului de
criptare Triple-DES rezolvă această problemă.
SSH 1 suport ă o mai mare var ietate de metode de auten tificare față de versiunea
2, între care se num ără AFS (bazat pe Andrew File System dezvolta t la Carn egie-
Mellon ) și Kerberos.
7.2.11.3. SSH 2
SSH 2 este o rescriere com pletă a SSH1 prin care se ad augă noi facilit ăți,
inclusiv suport pentru protocoalele F TP și TLS. Din cauza diferen țelor de im plementare
a protocoalelor, cele dou ă versiun i nu sunt c ompatibile în întreg ime. SSH2 of eră
îmbunătățiri în ceea ce prive ște sec uritatea și portab ilitatea. SSH2 necesit ă mai puțin
cod care s ă rulez e cu privileg ii de root, fiind m ai puțin expus exploat ărilor de tip buffer
overflow; astfel es te mai puțin probabil ca un atacator s ă rămână pe server cu drepturi
de root.
SSH2 nu ofer ă aceleași implementări de rețea ca și SSH 1, deoarece cripteaz ă
părți diferite ale pachetelor. SSH2 nu suport ă metoda de autentif icare prin f ișierele
.rhosts. De asem enea, în SSH2 algoritm ul RSA este înlo cuit de Digital Signa ture
Algorithm (DSA) și de Diffie-Hellman, dar, deoarece patentele RS A au expirat, este de
așteptat sup ortul în continua re pen tru algoritmul RSA în versiun ile următoare. S SH2
suportă Triple-DES, Blowfish, CAST-128 și Arcfour.
Din cauza diferen țelor între SSH 1 și SSH 2 și din cauza restric țiilor de
licențiere, ambele versiuni vor continua s ă fie utilizate pentru o perioad ă de tim p.
7.2.11.4. Algoritmii de criptare utiliza ți
În m omentul stabilirii unei se siuni SSH, atât clientul cât și serv erul SSH
negociază un algor itm de cr iptare. Identita tea serve rului este v erificată înain te de
trimiterea numelui de u tiliza tor și a parolei, fiind un proces care protejeaz ă împotriva
aplic ațiilor de tip cal troian care ar accepta conexiuni și ar p utea să „fure" inform ații de
autentif icare.
Pentru ca un client s ă se poată conecta la un server utilizân d autentifica rea prin
cheie public ă, această cheie trebu ie distribuit ă în m od securizat. În funcție de versiune,
SSH suport ă mai mulți algoritm i de criptare, dup ă cum se poate observa în Tabelul 7.2.

82

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri

Tabelul 7. 2.
Compara ție între SSH1 și SSH2
SSH1 SSH 2
Triple – DES Triple – DES – algoritm implicit
128bitRC4 128bitRC4
Blowfish Blowfish
IDEA – algorit m implicit Twofish
DES Arcfour
RSA CAST 128
– DSA
– Transferul cheilor prin Diffie Hell man
7.2.11.5. Ce poate proteja SSH. Riscuri de securitate ale SSH
În cazu l existenței conexiunilor de sosire c ătre un server, SSH ofer ă un
mecanism sigur și eficient prin care se poate face accesu l. Deoarece SSH este u șor de
insta lat, ac esta ar tr ebui să fie singurul m ecanism prin care s ă se ofere func ționalitate de
tip FTP, Te lnet sau rlogin în tr-un mediu se curizat, pen tru utilizato rul final, SSH f iind
aproape tran sparent.
SSH este o alte rnativă la program ele care exec ută autentificarea în func ție de
adresa IP, iar în m omentul utilizării autentif icării cu cheie pu blică protejează împotriva
program elor care utilizeaz ă parole reutilizab ile. Prin cr iptarea s esiunii între c lient și
server se face protec ția împotriva intercep ției parolelor trimise sub f ormă de text clar.
SSH su feră și de câtev a lim itări, între ca re imposibilitatea de a spe cifica un
interval d e porturi sau aceea d e a trans lata porturi din amice. În p lus, versiu nea de
Windows nu im plementează copierea securizat ă a fișierelor.

7.2.12. PGP. Riscu ri de securitate
Trim iterea m esajelor d e e-m ail prin Inte rnet este foarte asem ănătoare cu
trimiterea cărților poștale – în m od sim ilar, un mesaj de e -mail poa te fi citit de o ricine
care acces ează transm isia. Acest lucr u se poa te întâm pla fără a fi cunoscut de expeditor
sau de către destinatar. În plus, un mesaj poate fi interceptat, modif icat și retr imis.
Pretty Good Privacy (PGP) este un program de securitate care pune la
dispoziția utiliza torilor securita te avansată pen tru m esaje de e-m ail și fișiere, prin
utiliza rea se mnăturilo r digitale și a crip tării. Implem entat în m od corespunz ător, PGP
oferă servicii de confiden țialitate, integritate și autentif icare.
Program ul original PGP a fost cr eat de Philip Zimmer mann. Inten ția PG P a fost
aceea de a oferi un m ecanism pentru com unicare secu rizată între mai multe perso ane
cunoscute. Acest program utilizează atât tehnologia de cr iptare cu cheie public ă cât și pe
cea de crip tare cu cheie privat ă. PGP folose ște algoritm ul de 128 bi ți IDEA pentru
criptarea sim etrică a m esajelor. Ve rsiunea 5 și mai mari suportă algor itmii CAST și
Triple -DES, iar v ersiunea 7 im plem entează o versiune a Twofish. Cheia secret ă este
generată pentru fiecare m esaj sau fi șier c riptat. Prin f aptul că nu reu tilizea ză cheia
secretă, reduce șansele d e reușită ale crip t-analizei (stud ierea recuper ării unui text dintr-
un format criptat fără accesul la cheie).
83

Securitatea siste melor informatice
PGP suport ă algo ritmii de c riptare cu ch eie publică RSA, DSA și Diffie-
Hellm an. Algoritm ii de hash suportați sunt MD5, RACE Integrity Pr imitive s
Evaluation-Message Digest (RIPE MD) și SHA-1.
Aplicația PGP Desktop Security cuprinde o serie de facilit ăți de secu ritate m ult
mai avansate decât ar fi necesare u nui sistem de e-m ail, printre car e sunt cuprinse un
sistem personal de detec ție a intrușilor, un firewall person al, com unicare bazat ă pe VPN
sau IP Secu rity (IPSec), criptarea discului cu PGP și suport pentru cer tificate digitale
X.509v3.
În m omentul de fa ță, PGP trece prin procesu l de standardizare al IET F sub
forma OpenPGP, definit prin RFC 2440.
Expedierea m esajelor PGP nu este com plicată – în prim ul rând, m esajul este
criptat cu o cheie aleato are sim etrică a sesiunii. Cheia sesiun ii este criptat ă apoi cu ch eia
publică a destinatarului. În cazul în care m esajul este semnat, acesta este s emnat cu
cheia privat ă a expedito rului. Cheia cripta tă a sesiunii este apoi tr imisă destinatarului
împreună cu m esajul c riptat. În mom entul rec epționării mesaju lui cr iptat cu PGP se
desfășoară procesul invers . PGP utilizeaz ă cheia privat ă a destinatarului pentru a
decrip ta ch eia ses iunii. În cele d in urmă cheia s esiunii es te utiliza tă pentru a decripta
mesajul, iar clien tul de e -mail afișează textul clar al m esajului.
Una din problem ele privito are la cheia public ă de crip tare este aceea de
încreder e în acea cheie p ublică. Pentru ca o criptare cu cheie p ublică să ofere s ecurita tea
adecvată, utilizato rii tre buie să fie siguri de faptul c ă cheia public ă cu care se face
criptarea ap arține într-a devăr destin ataru lui intenționat. PGP încearc ă să rezolve aceast ă
problemă prin utilizarea unui m odel în care persoanele se încred reciproc. Aceast ă
încred ere (trust) es te ex prim ată prin sem narea cheii PGP apar ținând altei persoane. În
realitate, orice uti lizator PGP devine Certificate of Authority prin sem narea altor chei
pentru alți utiliza tori. Î n modelul de încredere PGP nu exist ă nici o diferen ță între
semnarea unei chei în ca litate de CA sau de utilizator, lu cru care dif eră semnificativ în
scenariul infrastructu rii cu cheie pu blică, în care num ai o autorita te de certificare p oate
să-și exp rime încrederea într-o cheie public ă. Pe măsură ce alți utiliza tori sem nează cu
cheia unui utilizator anum e și acel utilizator sem nează alte chei, se creeaz ă o plajă de
încred ere.
Această încredere este b azată atât p e încrederea acordat ă unei chei pu blice ca
fiind sau nu autentic ă cât și pe încred erea aco rdată altor perso ane care au sem nat cheia.
Acest lucru poate ridica problem e, deoarece cheile ar trebui s ă prezin te încredere numai
în cazul în care exis tă o persoan ă cunoscută și de încredere care a sem nat deja cheia. În
alte cazuri, singura posibilitate de a ști că o cheie es te auten tică este obținerea aces teia
printr-un mecanism foarte s igur, p recum o întâln ire față în f ață. Acest m odel de
încred ere e ste po trivit pentru mesajele inf ormale trim ise prin Internet, da r nu se
potrivește într-un s cenariu de afacer i în care se cere n erespingerea și contab ilizarea
utilizatorilor.
Revocarea cheilo r PGP care nu m ai prezin tă încredere poate fi de asem enea o
problemă. Singura m odalitate de prevenire a utiliz ării une i chei PGP com promise este
trimiterea unui certificat de revocare a cheii c ătre toate pers oanele care ar putea utiliza
acea ch eie. Acest certifi cat de revo care ar pu tea fi plas at pe un keyse rver pentru a
avertiza u tilizatorii în privin ța cheii. Deoarece ch eile pot fi s tocate și într -un inel d e chei
(key ring) pe m așina lo cală, nu exist ă nici o ga ranție că toate persoanele vor prim i
avertism entul și nu vor m ai utiliza a cea che ie comprom isă.
84

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
Versiunea 7 a PGP De sktop Security introduce și suport pentru certificatele
digitale X.509v3, perm ițând as tfel P GP să partic ipe în infrastructura d e chei pub lice și
să se depărteze (eventual) de m odelul de secur itate al PGP (plaja de încred ere).
Deși criptog rafia utiliza tă de PGP es te pu ternică, există o mu lțime de atacuri ce
se pot ap lica îm potriva acestu ia. U n tip de atac este cel reprezen tat de atacurile prin
dicționare as upra frazei d e trecere din PGP, prin încercarea fiec ărui cuvânt din dic ționar
și a com binațiilor.
Securitatea central ă a PGP este dat ă de pu terea frazei de trecere și de protec ția
cheii priv ate. Pentru ca f raza d e trecere să prezinte secu ritatea adecvată, ar trebui s ă aibă
o lungim e suficientă, nu ar trebui s ă utilizeze cuvinte com une din dic ționare și ar tr ebui
schim bată frecvent.
În ceea ce prive ște cheia privat ă, cât tim p aceasta este stocat ă pe un calculator ( și
nu pe un smart card, de exem plu), protec ția acesteia es te de asem enea i mportan tă.
Pe lângă acestea, m odelul de încredere recip rocă în cheile PGP este pred ispus la
erori, iar p entru ca aces ta să lucreze în m od corect trebu ie ca exped itoru l să creadă că
cheia pub lică este auten tică, aparține utilizatorului real și nu a fost m odifi cată.
7.2.13. S/MIME
Ca și PGP, Secure / Multipurpo se Internet Mail Extensions (S/MIME)
încearcă să rezolve pr oblem a trim iterii de m esaje într e părți care nu s-au întâln it
niciodată prin inte rmediul c riptării. De asem enea, rezolv ă prob lema integrității
mesajului, verif icării m esajulu i și a nerepudierii prin utilizarea sem năturilo r digitale.
S/MIME nu ofer ă criptarea la nivel de sesiun e precum SSL, ci securizeaz ă
mesajele in dividua le. Acest proto col este de pref erat în utilizar ea e-m ail, în care
destin atarul nu este d isponibil în m omentul în care m esajul a f ost trim is.
Utilizând S/MIME, un m esaj poate f i cripta t, semnat digital sau se p ot alege
ambele variante. De și S/MIME nu este lim itat la se curiz area m esajelor de e -mail,
aceas ta a fos t principala sa utilizare pân ă în m omentul de fa ță. S/MIME a fost aplicat de
asem enea în Electronic Data Interchange (EDI), tran zacții online și mesagerie
securizată în aplic ații.
Modelul S/MIME este bazat pe teh nologia creat ă în 1995 de c ătre RSA Dat a
Security împreună cu un grup de dezvoltato ri de software, în tre care Nets cape, VeriSign
și alții. S/MIME este bazat pe Standard ul de crip tografie cu cheie public ă nr. 7
(PKCS#7 – un set de standarde utilizat pentru implem entarea sistem elor de criptare cu
cheie pub lică) pentru trim iterea m esajelo r și pe X.509v3 pentru ce rtificate digitale.
S/MIME ofer ă îmbunătățiri de secu ritate f ață de standardul MIME. Am bele sunt
definite p rin RFC-uri:
• RFC 1847: Securizarea Multip arte p entru M IME;
• RFC 2045: MIME partea întâi: formatul corpurilor de m esaje din MIME;
• RFC 2046: MIME partea a doua: tipurile m edia;
• RFC 2047: MIME partea a treia: extensiile antetelor de m esaje pentru text Non-
ASCII;
• RFC 2048: MIME partea a patra: procedurile de înregistrare;
• RFC 2049: MIME partea a cincia : criterii de confor mare și exem ple;
• RFC 2183: com unicarea inform ațiilor de prezen tare în m esajele Inte rnet;
• RFC 2630: sintaxa m esajelor criptate;
• RFC 2632: gestiunea certif icatelor S /MIME V3 ;
85

Securitatea siste melor informatice
• RFC 2633: specifica țiile S/MIME V3;
• RFC 2634: servicii îm bunătățite de securitate pentru S/MIME.

S/MIME ex tinde M IME prin of erirea de s ervicii de secur itate în tre c are se
numără autentif icare a și integr itatea prin utilizare a sem năturilor digitale și
confidențialitate a prin u tilizarea criptării.
MIME es te stand ardul pentru trimiterea fișierelor p rin e-mail în In ternet prin
care s e permite trim iterea de m esaje având d iferite se turi de cara ctere și codarea și
decodare a obiectelor de tip m ultimedia și de tip binar pentru a putea f i trim ise prin e-
mail. Tipurile predefinite MIME cuprind docum ente W ord, fișiere PostScript sau fi șiere
audio WAV. Codarea MIME este f ăcută utilizând diferite m etode în m omentul trim iterii
mesajului, la recep ție aceste părți fiind decodate în form atul orig inal. P entru aceas ta se
adaugă fiecărui fișier câte un ante t în ca re su nt desc rise datele con ținute precum și
metoda de codare utilizat ă.
Deoarece M IME este o specifica ție matură și bogată utiliza tă pentru tr imiterea
de conținut diferit prin Internet, îmbun ătățirea acestuia are sen s prin adăugarea de
facilități de securita te în locul c reării unui nou standard, com plet diferit.
7.2.13.1. Funcționarea S/MI ME
Pentru a pu tea trim ite mesaje securizat e de tip S/MIME, a tât exped itorul cât și
destinatarul trebuie s ă utilizeze clien ți care cu nosc acest standard, p recum Outlook,
Outlook Express sau Netscape C ommunicator. În plus, fiecare u tilizator trebu ie să
obțină un certificat digital îm preună cu cheie p rivată corespu nzătoare.
S/MIME es te un sistem de cr iptare hib rid care utilizeaz ă atât algoritmul de
criptare cu cheie public ă cât și pe cel de criptare cu cheie p rivată. Crip tografia cu ch eie
publică este prea len tă pentru criptarea datelor brute, dar, în acela și tim p, este dif icil de
distribuit ch eia privat ă în m od securizat f ără criptografia cu cheie public ă. În standardul
S/MIME criptografia cu cheie pub lică este utiliz ată pentru schimbarea c heilor sim etrice
și pentru semn ături digitale (ne cesită certificatele X.509). De asem enea, specifica țiile
S/MIME recom andă utiliza rea a tre i algo ritmi de criptare: DES, Triple -DES și RC2.
Securitatea unui m esaj criptat cu S/ MIME depinde în principal de mărimea cheii
utiliza te de algor itmul de cr iptare. Un as pect interesan t al S/M IME este acela c ă
destinatarul unui m esaj, și nu ex pedito rul ac estuia, de termină metoda de criptare
utiliza tă, bazându-se pe infor mațiile of erite de ce rtificatele digita le.
Trim iterea m esajelor S/MIME presupune o serie de pa și. In prim ul rând, m esajul
este crip tat cu o che ie de sesiune generat ă în mod aleator. Apoi , cheia ses iunii este
criptată utilizând cheia public ă a de stinataru lui. Această cheie a fost fie schim bată în
prealabil, fie a fost reg ăsită într-un serviciu director de tip LDAP. Pasul urm ător este
constituit de îm pachetar ea m esajului crip tat, a cheii de ses iune a identificato rilor de
algoritm precum și a altor date într-un obiect bi nar de formatat în concordan ță cu tipul
PKCS#7. Acest obiect astfel cr eat este codat într-un obiect MIME utilizând tipul de
conținut application/pkcs7-mime, după care m esajul este expediat. L a recepționare,
plicu l digital este de sfăcut, iar cheia privat ă a destinataru lui decripteaz ă cheia d e
sesiune, care este utilizat ă pentru a d ecrip ta mesajul.
Datorită suportului dat de dezvoltatori, S/MIME se pare c ă va fi standardul de
securita te al e-m ail. S/MIME joac ă de asem enea, un rol cheie în strategia Microsoft
Windows 2000/Exchange 2000.
86

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
S/MIME și PGP o feră ambele m etode eficiente de securitate pentru criptarea
mesajelor d e e-m ail. Spre deoseb ire de PGP, care s-a b azat până la versiunea 7.0 pe
modelul de securita te al plajei de încredere, S/MIME are ca avantaj principal utilizarea
infrastru cturii cu chei publice (PKI) și a certificatelo r digitale. De as emenea, S/M IME
este in tegrat în m ai mulți clienți de e-m ail, în timp ce PGP necesit ă descărcarea și
instalarea unui plug-in.
7.2.13.2. Riscuri de securitate ale S/MIME
Pentru a func ționa eficient, S/MIME trebuie să utilizeze chei de lungim e mare și
algoritm i de crip tare puternici, precu m Triple -DES. În m ulte cazuri în care se expediaz ă
mesaje de e-m ail prin aplicații care supo rtă S/MIME, singurul fo rmat de criptare
disponibil este RC4 (40 bi ți), care nu ofer ă o lungim e suficient ă pentru secu ritatea
minimă.
De asem enea, S/M IME are acelea și problem e ca și PGP – pentru o com unicație
securizată, trebuie s ă existe un nivel de siguran ță asupra cheii cu care se face criptarea.
La fel ca și la PGP, cheia secret ă trebuie să fie s ecurizată din punct de vedere fizic.
7.2.14. Utilizarea f irewall-urilor în intra neturi
Zidurile de protec ție joacă un rol semnificativ în m anage mentul securit ății unui
intranet. Un zid de protec ție este un dispozitiv sau o aplica ție care co ntrolează cursul
comunicației într e rețeaua intern ă și o rețea ext ernă precum Internetul. Un zid de
protecție (Figura 7.1) serve ște câtorva scopuri:
• acționează ca filtru de in trare pentru traf icul Inter net către serverele organ izației,
prevenind ajungerea pachetelor n eautorizate în serverele de w eb și de ap licații;
• oferă conexiuni prin proxy c ătre In ternet, m enținând autentif icarea u tiliza torilor
interni;
• jurna lizează traficul, of erind un suport pe ntru audit, raportare, ca și pentru
planif icare.

Fig. 7. 1: Amplasarea Fir ewall-ului
Firewall-urile nu func ționează fără riscuri. Acestea sunt în general dificil de
penetrat, dar dac ă au fost depășite, rețeaua in ternă este deschis ă pentru intrus. În plus,
un firewall nu poate rezolva com promisurile din re țeaua internă. Aproxim ativ 70% di n
breșele de s ecuritate au loc în in teriorul com paniei, ad ică sunt create de persoane de
87

Securitatea siste melor informatice
dincolo de zidul de protec ție. Un exem plu poate fi utilizarea unui m odem și a unei
conexiuni dial-up.
În practic ă au fost observate urm ătoarele riscur i cu priv ire la f irewall-uri:
• porturile – regulile de filtrare sunt bazate pe porturi surs ă și destin ație. O mașină
care utilizeaz ă TCP/IP are 65535 porturi virtuale, din care unele sunt utilizate de
către anum ite servicii;
• rutarea – această opțiune IP perm ite utiliza torilo r să defineasc ă modalitatea de
rutare a pachetelo r.
• SOCK – reprezin tă o bibliotec ă de aplic ații proxy utilizate pentru a perm ite ca
anum ite servicii s ă fie utiliza te și pentru a ține in trușii în afară;
• scanare RPC direct ă – portm apper este un se rviciu c are permite utiliza torilo r să
identifice po rturile p e care rez idă apelurile de proceduri la distan ță;
• scanare ascuns ă – un intrus nu încearc ă să stabilească o conexiune ci utilizeaz ă
pachete la n ivel de inte rfață. Aces te pachete n e dau răspunsuri diferite, în func ție
de calita tea portulu i (deschis sau nu ).
• protocoale f ără conexiune – firewall-urile au dificult ăți în detectarea pach etelo r
utilizate în s ervicii care nu necesit ă stabilirea unei cone xiuni, precum UDP;
Pentru Intraneturi este n ecesară exis tența unui sistem de detectare a intruziunilor
cu scopul protej ării perim etrului rețelei de atacu ri. Sistemele de detectare a intrușilor pot
fi instalate ca și sonde sau ca agen ți. Sondele sun t mult mai eficiente în ceea ce prive ște
detectarea intruziunilo r deoarece m inimizează impactul asu pra sistem elor existen te prin
ascultarea p asivă și rapo rtarea către consola central ă, fără întrerupere.
Servic iile de detec tare a intrușilor execută la nivel de dispozitiv de re țea
următoarele func ții:
• inspecteaz ă șirul de date care trec prin re țea, identifică sem năturile ac tivităților
neautorizate și activea ză procedurile de ap ărare;
• generează alarm e în cazul detect ării evenim entelor, n otificând personalu l
necesar de s ecuritate;
• activ ează un răspuns au tomat în cazu l anum itor problem e.
Pe lângă detectarea in trușilor m ai poate f i luat în conside rare și un agregator
proxy de tip TCP care va îm bunătății securitatea prin firewa ll prin limitarea portu rilor
expuse.
Tunneling-ul și crip tarea sunt utilizate pentru a crea re țele punct-la-punct, în
genera l fiind utilizate p rotocoa le precum Layer 2 Tunneling Protocol (L2TP), Point- to-
Point Tunneling Protocol (PPTP), IPSec, precum și standarde de criptare cum sunt
DES, MD5, Triple DES, etc.
Codurile m obile de program precum Java și ActiveX creeaz ă o am enințare în
creștere. Aplica țiile ca re inspec tează conținutul trebuie s ă:
• ofere contro l asupra cod ului m obil Java, Active X sau altu l;
• prevină atacurile prin co d mobil;
• activ eze navigarea în siguran ță, utilizând în acela și tim p facilitățile Java și
ActiveX.

În concluzie, m anage mentul securit ății are o necesitate din ce în ce m ai ridicată,
atât în rețele de tip in tranet câ t și în alte tipu ri de rețele de colaborare, d atorită mulțimii
punctelo r de acces în re țea. În acela și tim p sunt necesare noi unelte și tehnici, câ t și o
combinare a acesto ra pentru a oferi s iguranța maximă posibilă.
88

8. Strategii de achizi ție pentru ap ărare
8.1. Introduc ere
Inform ațiile despre com erțul electronic Business-to-Business (B-B) își croies c
drum în ziare, reviste econom ice sau în știrile de la telev iziuni. Ma joritatea aces tor
informații sunt centrate pe achizi ții electronice ( e-procurement ) sau partea de cum părare
a com erțului electronic pentru c ă analiștii au confirm at faptul c ă firm ele ce au
implem entat sistem e de achizi ții electronice au în regis trat eco nomii.
Indiferent din ce dom eniu este o firm ă, achizițiile sunt o i mportantă funcție
econom ică, acest lucru este v alabil și pentru unit ățile din dom eniul apărării. Deoa rece
achizițiile in tervin la în ceputul lanțului valoric, impactul deci ziilor de aprovizionare se
amplifică pe măsură ce un produs curge spre destina ția finală: utiliza torul. Achizi țiile
implică două tipur i de cheltu ieli. O catego rie se ref eră la cos tul materialelor cum părate.
A doua se refer ă la cos tul procesu lui de achizi ție. Acesta cu prinde cos turile tran zacției,
adică cele cu persona lul im plicat în pro ces, cheltu ieli indirecte aferente c ăutării,
comparării, negocierii de surse de achizi ție. Soluțiile de ach iziție electronice pot avea un
efect substan țial asupra am belor categorii.
Comerțul electron ic rep rezintă schimbul de inform ații de afaceri, f ără ajutorul
hârtiei, utilizând schim bul electronic de date ( Electronic Data Interchange ), poșta
electronic ă (e-mail ), buletinele electronice, transf erul electronic de fonduri ( Electro nic
Funds Transfer ), precum și alte tehnologii sim ilare. Sc himbul electronic de date
reprezintă schimbul, între calculato are, a inform ațiilor privind tranz acțiile din af aceri,
folosind un form at standard public.
Introducerea conceptului de e-business perm ite organiza țiilor militare să
considere co merțul electronic nu numai în viziunea tradi țională de achizi ție și plată prin
utilizarea tranzac țiilor s tandard. Co nceptul p ermite luarea în consid erare a re lațiilor
dintre un consum ator și un fur nizor și oferă avantajele date d e îmbunătățirea
semnificativă a procesului, disponibil ă prin implem entarea conceptelor și tehnologiilor
de afaceri electronice și comerț electron ic. Acest lucru duce la extinderea aplica țiilor
funcționale de la furnizare, achizi ție și contabilita te, la cele legate de alte dom enii cu m
ar fi sănătatea, personalul, sistem ul de achizi ții și știința și tehnologia.
Politica o rganizațiilor m ilitare în ceea ce p rivește introd ucerea în activitatea
curentă a co nceptelor e-business și e-commerce trebuie să aibă în vedere:
• utiliza rea c oncepte lor și tehnolog iilor de e-business și e-commerce în
îmbunătățirea proceselo r de afaceri și în efortur ile d e reinginerie; aces t lucru
perm ite introducerea procedeelor de pe pia ța com ercială în disem inarea
informațiilor în formă electron ică persoanelor în drept, la m omentul potrivit, în
scopul redu cerii duratei procesulu i; în acest sens, organiza țiile m ilitare vo r
desfășura următoarele activit ăți:
o implem entarea ini țiativelor e-bus iness și e-commerce care în corporeaz ă
„cele m ai bune practici în afaceri” în vederea ob ținerii eficienței și pentru
prom ovarea eficacit ății operaționale pentru redu cerea semnificativ ă a
timpilor de răspuns;
o facilitare a utilizării în co mun a date lor și integrarea p roceselor de afaceri
între organ izațiile m ilitar e și partenerii de afaceri;
89

Securitatea siste melor informatice
o implem entarea de solu ții deschise flexibile și interope rabile care să nu
interzică sau să îngreuneze utilizarea pe scar ă largă de soluții tehnologice
noi sau com petitive;
• utilizarea p e scară largă de stand arde e-bus iness și e-commerce indu striale și a
produselor com erciale – COTS ( commercial-o ff-the-shelf );
• implem entarea solu țiilor de secur itate e-busin ess și e-commerce care vor perm ite
securitatea date lor pe baza cerin țelor statu tare și ale utiliza torilor, fără
degradarea proceselor curent e pe care le înlocu iesc;
• stabilirea și utilizarea de oportunit ăți de afaceri electron ice c are an gajează
princ ipii, co ncepte și tehnologii de e-business și e-commerce în conducerea și
administrare a proces elor m ilitare și de afaceri;
• aplicarea p roceselo r de e-business și e-commerce în vedere a intero perabilității
cu partenerii de afaceri p entru integ rarea cu s ectorul priv at;
• protejarea propriet ății intele ctuale; garantarea integr ității datelor și dreptul la
confidențialitate a lor;
• cooperarea cu alte m inistere și agenții pentru dezvoltarea și implem entarea unei
arhitectu ri operaționale e-bus iness și e-com merce în spr ijinul programelor
guvernului din dom eniu;
• asigurarea confor mității cu politica d e achiziție a M.Ap.N. și a instruc țiunilor de
achiziție.
8.2. Strategii de securitate ale r ăzboiului informa țional
Securitatea este recuno scută ca f iind un conc ept m ultidim ensional a șa înc ât,
toate dom eniile de activ itate (politic ă, diplom ație, econom ie, apărare, c ultură, știință
etc.) își iau măsuri care s ă asigure prom ovarea intereselor specifice fiec ăreia. Ace ste
sectoa re de activ itate nu există independent unul de celalalt, leg ăturile d intre ele f iind
vitale pentru func ționarea optim ă.
În acest co ntext, politica de secu ritate națională este ob ligată să țină cont de
aceas tă realitate. Fiind v orba de un s istem al cărui echilib ru și funcționare optim ă este
de dorit, politica în acest dom eniu va trebui s ă funda menteze, în plan teoretic și să
întreprindă în plan practic, acele m ăsuri necesare pen tru prom ovarea interes elor
naționale fundam entale și apărarea lor împotriv a oricăror agresiuni, pericole,
amenințări, riscuri.
Faptul că informația și tehnologia schim bă natura conflictelor nu este un lucru
nou, dar accentuarea, în prezent, a ro lului inform ației, ca instrum ent de putere,
determ ină modificări extrem de importante nu num ai în activitatea unui serviciu de
informații, ci și la nive lul politic ii de apărare, în activ itatea organiz ațiilor militare și în
dezvoltarea inf rastru cturii inf ormaționale m ilitare.
Războiul și operațiile inf ormaționale sun t realități deja consacra te în spațiul
euro-a tlantic, și nu num ai. Capacitățile în a cest d omeniu cons tituie, pen tru țări cum este
și Rom ânia, soluții de contrabalansare a asim etriilor de putere.
Acțiunile de natur ă informațională (în practic ă, ope rații inf ormaționale) au și vor
avea lo c pe tot p arcursul ciclu lui pace-criz ă-conflict-p ace. Este, așadar, es ențial ca
Rom ânia să dispună de capacit ăți permanente de avertizare, evaluare, analiz ă și ripo stă,
precum și să întrețină o stare continu ă de ajustare structu rală și doctrinar ă, care să-i
perm ită realizarea interes elor naționale în acest mediu informa țional.
90

Cap. 8 – Strategii de ac hiziție pent ru apărare
În societatea infor mațională, inform ația ca armă, țintă și materie pr imă strategică
stă la baza tuturor deciziilor. Adaptarea la acest nou m ediu (în care fluxul de inform ații,
în tim p real, este în c ontinuă creștere) presupune în țelegerea unor riscuri în zona
manage mentului inform ațional. O ex emplificare a aces tui lucru es te faptu l că operațiile
informaționale, așa cum sunt ele co nceptualizate în doctrinele eu ro-atlan tice, au ca țintă
de bază ciclul decizional.
Evoluția rap idă a tehnologiei informa ției a mărit discrepan ța dintre capaci tatea
de producere și cea de utiliza re a informației. S porire a cantității inf ormațiilor nu atrage
după sine și creșterea calit ății lor, iar deținerea unor inform ații de calitate nu este
sinonimă cu capacitatea de valorificare a lo r.
Din perspectiv ă civilă, conceptul de r ăzboi informațional atrage dup ă sine o
multiplicar e a rapo rturilor de f orță, în timp ce în p lan m ilitar există o apar entă limitare a
acesto ra (restrâng erea put erii militare, dato rită reducerii caracteru lui v iolent al
confruntărilor). Între c ele două perspectiv e există și puncte com une. În prim ul rând, un
aliat poa te fi în ac elași timp și adversar (de unde natura dual ă cooperare – concuren ță).
În al doilea rând, r ăzboiul inform ațional stabile ște un nou raport între realit ățile de ordin
strategic, tehnic (prezen ța tot m ai mare a inf ormaticii și a rețelelor in formaționale) și
simbolice.
În sens larg, războiul inf ormațional presupune integrarea a șapte f orme dif erite
de dom enii și disc ipline:
• războiul de comand ă și control (forma exclusiv militară a războiului
informațional) – are m enirea să anihileze com anda și sistemele de com andă și
control ale unui adversar prin integrarea opera țiilor ps ihologice, a securit ății
operațiilor, a inducer ii în eroar e, a războiului electronic și a dis truger ii fizice;
• războiul bazat pe informa ții (intelligence) – constă în pro iectarea, pro tecția și
anihilarea s istem elor care con țin suficiente cuno ștințe pentru a dom ina un spa țiu
de conflict;
• războiul electronic – u tilizează tehnologie electronic ă și tehnici cripto grafice
pentru dom inația spațiului ele ctrom agnetic ;
• războiul psihologic – utilizea ză infor mația pentru a m odifica a titudinile și
opțiunile am icilor, neutrilor și adversarilor;
• războiul ha cker-ilor – constă în atacuri pasiv e și active, cu software „m align”,
asupra s istem elor inform atice;
• războiul în sfera inform ațiilor econ omice – urmărește blo carea sau canalizarea
informațiilor, în scopul o bținerii supr emației econ omice;
• războiul în spa țiul re alității vir tuale – creeaz ă, în p rezent, im agini a le
"realităților"potriv it inte reselor acto rilor im plicați.

În contextul r ăzboiului inform ațional, secur itatea informa țională (INFOSEC –
Information Security ) repre zintă protecția și apărarea inform ațiilor și sistem elor
informaționale îm potriv a accesu lui neautorizat, a m odificării conținutului inform ațiilor
aflate în faza de s tocare, prelucrare sau tran sport și pentru as igurarea a ccesu lui
utiliza torilor autor izați către aces te inform ații. INFOSEC cuprinde acele m ăsuri
destinate pentru descoperirea, informarea și contracararea a cestor tipuri de ac țiuni.

Componentele INFOS EC sunt:
• securitatea echipam entelor de calcul (COMPUSEC – Computer Security );
91

Securitatea siste melor informatice
• securitatea com unicațiilor (COMSEC – Communications Security și
TRANSEC – Transmission Security ).

COMPUSE C cuprinde acele m ăsuri și elemente de co ntrol care asigur ă
confidențialitate a, integ ritatea și disponibilitatea infor mațiilor prelucrate și stocate cu
ajuto rul calculato arelor. Aceste m ăsuri includ proceduri și instrum ente hardware și
software necesare pentru prot ejarea sistem elor infor matice și a inf ormațiilor stoc ate în
cadrul aces tora.
COMSEC cuprinde acele m ăsuri de stina te împiedicării accesului ne autoriza t la
informațiile care pot f i preluate din sistem ele de com unicații, precum și asigurarea
autenticității coresponden ților pe aceste lin ii. Folosește scram blarea sau tehnic ile
criptografice pentru a face inform ația neinte ligibilă pentru personalul neautorizat care
intercepteaz ă com unicația.
Criptogr afierea es te pro cesul de c riptare (tr anslatar e) a inf ormației într- un m esaj
aparen t aleator la em ițător, și apo i de descif rare a m esajului alea tor pr in decrip tare la
recep tor. Tehnologiile electron ice actuale perm it desfășurarea autom ată a procesului de
criptare/decriptare. Proc esul im plică folosire a unui algo ritm m atematic și a un ei ch ei,
pentru trans latarea inform ației din clar în s tare cripta tă.
În sis temele de com unicații vocale, care nu necesită securitate ridicat ă,
informația poate fi protejat ă împotriva inter ceptării și prelucrării prin s cramblarizare. În
acest caz, s cramblarea, ca tehn ică COMSEC a nalogică, implică separarea sem nalului
vocal într-un num ăr de sub-benzi și trans latarea fiec ăreia într-un a lt dom eniu al
spectru lui d e audiofrecv ență, urm ată de com binarea sub-b enzilor într-un sem nal audio
compus, care m odulează emițătorul.
În crip tarea digita lă, datele sunt reduse la un flux de date binar. Mecanism ul
criptografic creeaz ă un flux de num ere binare ne-repet itiv, extrem de lung, pe baza unei
chei de criptare a traficului (TEK – Traffic Encry ption Key ). Fluxul de date este ad ăugat
celui c riptografic, cre ând datele cr iptate sau textul cifrat. Un flux binar creat în acest
mod este in erent im predictibil, furnizând de aceea o m etodă foarte sigur ă de pro tejare a
informației. Toate sem nalele an alogice sunt m ai predictib ile și de aceea m ai puțin
sigure.
Eficacita tea crip tării datelor, care este gradu l de d ificultate în d eterminarea
conținutului m esajului, e ste funcție de com plexitatea a lgoritmului m atematic și de chei.
Cheia es te o variabil ă care m odifică resincronizarea algoritm ului, protejarea
acesteia fiin d vitală. Chiar în situ ația în care se realizeaz ă accesul la info rmația criptată
(și se cunoa ște algoritmul), de c ătre persoane n eautor izate, este im posibilă decriptarea
informației dacă nu se cunoa ște și cheia. Acesta este unul din considerentele pentru care
e necesar ă dezvoltarea unor proceduri riguroase de m anagem ent al cheilor, în scopul
protejării, distribu irii, stocării și folosirii che ilor.
Un tip de sistem de m anagem ent al cheilo r, folosit în secto rul com ercial public ,
este criptog rafia cu chei publice. Co nform acestui standard, fiecare utilizator genereaz ă
două chei. U na este cheia public ă "Y" iar cea laltă este ch eia p rivată "X". Utilizând ac est
sistem se p oate tran smite de oriund e un m esaj crip tat cu cheia Y, care îns ă poate fi
decrip tat nu mai de către operato rul care de ține cheia X. Astfel, într-o re țea care
folosește acest sistem de chei publice, sunt posibile com unicații secretizate pe dou ă
nivele, acesta fiind denum it sistem de chei asimetric . Alterna tiva sa es te sistemul de chei
simetric , în care cu aceea și cheie s e criptează și decr iptea ză datele. Deoarece atât cel
92

Cap. 8 – Strategii de ac hiziție pent ru apărare
care em ite m esajul cât și toți cei care îl p rimesc trebuie s ă aibă aceleași chei, acest
sistem oferă cel m ai înalt nivel de securitate.
O soluție recent dezvoltat ă, aplicabilă rețelelor radio folose ște reprog ramarea
prin legătură radio (OT AR – Over The Air Rekeying ).Această tehn ică aproape elim ină
necesitatea înc ărcării m anuale a ch eilor și realizeaz ă un m anagem ent sigur al cheilor.
OTAR este un sistem de distribu ire a cheilor și include o cheie de crip tare a
cheii (KEK – Key Encryption Key ), folosită pentr u cripta rea c heii de cr iptare a traf icului
și oricăror alto r chei o peraționale COMSEC s au TRANSEC. Acest proces m ai este
denum it și "îm pachetare" pentru a fi diferen țiat de criptarea traf icului. Singura cheie
care trebu ie încărcată inițial atât în unitățile emițătoare cât și în cele recep toare este
cheia KEK.
După "îm pachetare", distribuirea, procesul care u rmează, poate folosi orice
mijloace fizice s au electron ice. Într-un si stem OTAR, cheile "împachetate "sunt
introduse într-un m esaj și trimise prin leg ătură radio sta ției dorite, folosind protocoale
de tr ansm isie fără erori (deoarece orice eroare ar face cheile d e nefolosit). Legătura
folosită pen tru tr ansm isie este în genera l secr etizată cu ajutorul cheii de criptare a
traficului (T EK) utiliza tă. Astfel, con ținutu l cheii es te dub lu prote jat la transm isia prin
legătură radio, elim inându-se practic orice posibilitate de comp romitere. P entru un grad
de securitate m ai ridicat, se obi șnuiește să se dig itizeze prin intermediul unui vocoder,
semnalul digita l rezu ltant fiind a poi tratat ca orice flux de date.
TRANSEC folosește un num ăr de tehnici pentru a preveni detec ția sau bruierea
semnalului pe traseul de transm isie. Aceste tehnici includ fie "asc underea" canalului, fie
transform area aces tuia în tr-o țintă în continu ă mișcare.
Pe term en mediu și lung, o stra tegie coerent ă de acțiune pentru opera ționalizarea
securității informaționale va trebui s ă vizeze dezv oltarea conceptual ă și metodologic ă a
domeniului, cu accen t pe:
• delim itarea granițelor conceptuale (caracteristici, forme, aspecte etc.) și definirea
cadrului epistem ologic de abordare;
• studierea dinam icii m odelelo r form ale ale războiului inform ațional și ada ptarea
acesto ra la contextu l geo politic, la in teresele și resursele Rom âniei;
• identificarea factorilor d e risc în raport cu slăbiciunile actu ale ale S istem ului
Național d e Securitate ;
• funda mentarea teoretic ă a unui ansamblu de structuri care s ă perm ită abordarea
instituționalizată a dom eniului războiului inform ațional;
• formularea unei strategii integ ratoare, la n ivel național, ca re să ofere
coordonatele pe term en lung ale dezvolt ării dom eniului securit ății
informaționale.

93

Securitatea siste melor informatice

Aplicații practice
94

Laborator Securitatea sistemelor inform atice Lucra rea nr.1

1 Criptarea ca metod ă de securitate a informa țiilor
1.1 Obiective:
ƒ înțelegerea și familiariza rea cu tehnic a de cr iptare prin che ie secretă;
ƒ realizarea cript ării și dec riptării m esajelo r folosin d metoda cif rului lui Cez ar;
ƒ realizarea cript ării și dec riptării m esajelo r folosin d metoda cif rului lui Ver nam;

În prezen t există două tipuri pr incipale de te hnici utiliza te în crip tografie, și
anum e:
• criptografia prin cheie s imetrice (chei secrete sau chei private) și,
• criptografia prin chei asim etrice (chei publice).

În cazul cheii sim etrice, atât exp editorul cât și destinatarul mesajului f olosesc o
cheie com ună secretă. În cazul cheii asim etrice, expeditorul și des tinatarul foloses c în
comun o che ie publică și, individual, cât e o ch eie privat ă.
1.2 Cifrul lui C ezar
Cea m ai simplă metodă de cr iptare, prin subs tituție, este cunoscut ă în zile le
noastre sub denum irea de cifrul lui Cezar , după num ele îm păratului rom an care a
inventat-o. În acest cifru, caracterele m esajului și numărul de repeti ții ale cheii s unt
însum ate laolaltă, modulo 26. În adunarea m odulo 26, lite relor alfabetu lui latin, de la A
la Z, li se dau valori de la 0 la 25 (vezi tabelu l 4.1). Pentru cheie trebuie s ă se ofere d oi
param etri:
• D – numărul literelor ce se repet ă, reprezen tând chei;
• K – cu rol d e cheie.

Tabelul 4.1
Coresponde nța litere-numer e
Litera A B C D E F G H I JKLMNOPQRSTU V W X Y Z
Număr 0 1 2 3 4 5 6 7 8 91011121314151617181920 21 22 23 2425

Pentru a în țelege m odul de func ționare, să presupunem c ă D=3 și K = BEC, iar
mesajul secr et este "PA ROLA MEA". Atribuin d valori nu merice m esajului, din ta belul
valor ii lite relor, avem :
P A R O L A M E A
15 0 17 14 11 0 12 4 0
Valorile nu merice ale c heii sun t:
B E C = 1 4 2

După aceste coresponden țe, cheia criptat ă 142 se adaug ă literelor mesajulu i,
astfel:
Cheia reperat ă 1 4 2 1 4 2 1 4 2
Mesajul 15 0 17 14 11 0 12 4 0
Echivalentul num eric
al textului cri ptat 16 4 19 15 15 2 13 8 2
Textul criptat Q E T P P C N I C
95

Laborator Securitatea sistemelor inform atice Lucra rea nr.1

Convertirea num erelor în literele aferente alfab etului condu ce la tex tul crip tat,
așa cum se vede m ai sus: "QETPPC NIC"
În cazul cifrului lui Cezar, D = 1 și cheia este D (3), adic ă fiecare liter ă este
înlocu ită de a tre ia lite ră de după ea d in alfabet – lite rele sun t deplasate la dreapta cu trei
poziții, (A cu D, B cu E ș.a.m.d.). Criptând m esajul dat în ex emplul anterior cu cifrul lui
Cezar, ob ținem:

Cheia reperat ă 3 3 3 3 3 3 3 3 3
Mesajul 15 0 17 14 11 0 12 4 0
Echivalentul num eric
al textului cri ptat 18 3 20 17 14 3 15 7 3
Textul criptat S D U R O D P H D

Dacă sum ele valo rilor c heii și ale numărului af erent lite relor sunt m ai mari sau
egale cu 26, se determ ină modulo 26 din sum ă, adică rezu ltatul final es te obținut prin
scăderea din sum ă a numărului 26.
Exem plu:
D=3, K=PIC, m esajul e ste SECRET, rezultatu l va fi:
– valor ile nu merice atrib uie mesajulu i:
S E C R E T
18 4 2 17 4 19
– valorile num erice ale cheii sunt: P I C = 15 8 2

Cheia reperat ă 15 8 2 15 8 2
Mesajul 18 4 2 17 4 19
Echivalentul num eric
al textului cri ptat 33
(8) 12 4 32
(9) 12 21
Textul criptat I M E J M V

Valorile 32 și 33 nu au echivalent în alfabetu l latin, caz în care se calculeaz ă
modulo 26 din 32 și 33, rezultând valorile 8 și 9, iar noul echivalent num eric al textului
criptate este 8 12 4 9 12 21, iar textul criptat este: IMEJMV.
Cifrurile de m ai sus pot fi descrise prin ecua ția general ă:
C = (M + b)mod N
unde:
b = un num ăr întreg fix;
N = numărul liter elor din alfabet (26 pentru a lfabetul latin);
M = m esajul textului clar în form a num erică;
C = textul cr iptat scris în forma num erică.

Cifrul lui Cezar, bazând u-se pe subs tituția simplă sau m onoalfabetic ă este ușor
de spart, pentru c ă un c aracter este înlocuit de altul și această schim bare este valabil ă în
tot tex tul, iar analiza frecven țelor de apari ție a literelor din textele scrise ne va conduce
la caracterele adev ărate ale textului.
Cifrurile po limorfice sunt rea lizate prin apelarea la cifru ri bazate pe su bstituția
multiplă. De exem plu, dacă se folosesc tre i alfabete pentru substitu ție, definite de cel ce
intenționează să crip teze, prim a lite ră din tex tul clar es te înlocuită cu p rima literă din
prim ul alfabet, a doua liter ă a textu lui clar este înlocu ită cu prim a lite ră din al doilea
96

Laborator Securitatea sistemelor inform atice Lucra rea nr.1
alfabet, a tre ia lite ră a textului cla r este înlocuită cu prim a literă din al d oilea alfabet, a
patra liter ă din tex tul clar este înlocu ită de a doua liter ă din primul alfabet ș.a.m.d.
1.3 Cifrul lui Vernam
Cifrul lui Vernam constă într-o cheie cons tituită dintr-un șir se ca ractere
aleatoare nerepetitive. Fiecare liter ă a cheii se ad augă modulo 26 la o liter ă a mesajulu i
clar. În aceast ă variantă, fiecare liter ă a cheii se folose ște o singur ă dată pentru un
singur m esaj și nu va m ai putea fi folosită niciodată. Lun gimea șirulu i de caractere a
cheii este egal ă cu lungimea m esajului. Meto da este f oarte u tilă pentru criptarea
mesajelor sc urte.
Exem plu: criptarea m esajului: LA MULTI ANI

Mesaj clar LAMULTIA NI 11 0 12 20 11 19 9 0 13 8
Cheie Vernam VIDAGTSROL 21 8 3 0 6 19 18 17 14 11
Suma aparent ă 32 8 15 20 17 38 27 17 27 19
Modulo 26 din
sumă 6 8 15 20 17 12 1 17 1 19
Textul criptat G I P U R M B R B T

1.4 Metod ă proprie de criptare
Mircea și Vasilică vor să-și trim ită mesaje pe care al ții să nu le înțeleagă. Au
citit ei despre spioni și modalități de a scrie m esaje și, în f inal, au im aginat un m od de
criptare a un ui mesaj care folose ște “cuvânt cheie”.
Alegându- și un cuvânt cheie form at num ai din litere distincte, ei num ără literele
acestu ia și împart m esajul în grupe de lungim e egală cu numărul de lite re ale cuvân tului
cheie, și le așează una sub alta. Desigur, se poa te întâ mpla ca ultim a grupă să fie
incom pletă, așa că o co mpletează cu spații. Apoi num erotează literele cuvântului cheie
în ordinea apari ției lor în alf abetul e nglez. În f inal, res criu mesaju l astf el: coloana de sub
litera num erotată cu 1, urm ată de c oloana d e sub liter a numerotată cu 2, etc. înlocuind
totodată și spațiile cu caracterul ‘*’ (asterisc).

Exemplu:
cuvântul cheie criptam
mesaj de criptat Incercam sa lucram cu coduri si criptari.
cuvântul cheie criptam are 7 litere
numerotare 2635714
deoarece, avem , în ordine abcdefgh ijklmnopqrstuvwxzy
1 2 3 4 5 6 7
împărțire în grupe: Incerca | m sa lu | cram cu | coduri | si cri | ptari.
codificare 2635714
Incerca
m*sa*lu
cram *cu
*coduri
*si*cr i
ptari.*
97

Laborator Securitatea sistemelor inform atice Lucra rea nr.1
mesaj criptat clcrr.Im c**pcsaoiaauuii*eam d*rn*rcstr**uci
col1 col2 col3 col4 col5 col6 col7
Cerință
Fiind date un cuvânt cheie și un mesaj c riptat, decodif icați mesajul tr imis de
Mircea pentru Vasilic ă.
Date de intr are
Fișierul de intrar e criptare.in conține pe prim a linie m esajul cr iptat iar pe lin ia a d oua
cuvântul cheie.
Date de ie șire
Fișierul de intrar e criptare.out conține pe pr ima linie m esajul decr iptat.
Restricții
• lungim ea mesajului este de m inim 20 și maxim 1000 caractere
• cuvântul cheie are m inim 5 și maxim 20 de caractere
• cuvântul cheie con ține n umai litere m ici ale alfabetulu i

1.5 Desf ășurarea lucr ării
Studenții vor for ma două sau patru echipe, care vor cripta un text dat de
îndrumătorul lucrării, după care vor s chimba mesajele crip tate între ele, și vor încerca s ă
le decripteze, cunoscând cheile de criptare.
De rem arcat, că în m esajele în cla r nu se ia în co nsidera re spațiul dintre cuvinte.

98

Laborator Securitatea sistemelor inform atice Lucra rea nr.2

2 Steganografia ca metod ă de securitate a informa țiilor
2.1 Obiective:
ƒ înțelegerea și fam iliarizarea cu tehnica de ascundere a inform ațiilor prin
steganografie;
ƒ familiarizar ea și utilizarea unei aplica ții de ascu ndere a info rmațiilor în imagini
steganography;

2.2 Introducere
Cuvântul steganografie (stega nography) vine din lim ba greacă unde steganos
înseam nă ascuns și graph scris (scriere ascu nsă). Prin urm are putem spune c ă
steganografia este știința sau ar ta de a scri e mesaj e ascunse astfel încât e xisten ta lor să
fie cunoscut ă num ai de destinatar și expeditor. Acest concept î și are o riginea în vrem uri
istorice. De exem plu grecii sau ro manii foloseau stegano grafia pentru a transm ite
mesaje ascunse, și anu me râdeau p ărul celui care trebu ia să tran smită mesajul, scriau
mesajul pe pielea capului și așteptau ca p ărul să-i crească la loc. M esajul putea fi
transm is prin interm ediul trim isului, nim eni decât cei care știau unde se afl ă putându-l
citi.
Steganografia este folosit ă pentru a ascunde m esaje (fișiere) în a lte fișiere m ai
mari și anum e în im agini de tip jpg, bm p, png, în fi șiere audio (m p3 sa u wav) sau chiar
video (avi) f ără a exista posibilitatea ca o terță persoană să știe sau să afle de existen ța
lor. Totu și una dintre cele m ai cunoscute tehnici de steganografie este "cerneala
simpatică" (înscrisul devine vizibil dup ă un p rocedeu – lam pa UV, înc ălzire, etc.).
Steganografia nu trebuie confundat ă cu criptog rafia. Acesta din urm a face ca un m esaj
să devină indescif rabil, dar existen ta lui e ste vizibilă, pe când stegano grafia ascun de
existența mesajului și nu mesajul și face ca steganografia s ă fie com pletarea perfe ctă
pentru cod ificare.

Aplicația poate fi desc ărcată de la http://www.securekit.com /.

După instalare, stud enții vor efectua ascunderea unui fi șier text în spa tele unei
imagini, care poate fi jpg, bm p, tif, pgn etc.

Lansarea în execu ție a a plicației se p oate face as tfel:
Start Æ Programs Æ Steganography Æ Steganography
Mom ent în care se va deschide fereastra de m ai jos:
99

Laborator Securitatea sistemelor inform atice Lucra rea nr.2
100

2.3 Ascunderea unui fi șier

Pasul 1: Selectarea fi șierului cărăuș
În aces t prim pas se va alege fi șierul (im aginea) în care se va ascunde m esajul
(sau fișierul) secret.
Click pe butonul
, și se va alege im aginea care va ascunde m esajul.

Pasul 2: Ad ăugarea/înl ăturarea mesajului sau a fișierului
În aces t pas se selecteaz ă un fișier existen t în calculator sau se cre ează un me saj
nou care va fi ascuns. Pot fi ascunse m ai multe fișiere sau m esaje în ace lași timp.
Click pe butonul
, după care se deschide fereas tra de ad ăugat
mesaje sau fi șiere:

Laborator Securitatea sistemelor inform atice Lucra rea nr.2
1. Pentru a ascunde un fi șier deja existent s e apasă "File" și apo i "Next" ,
selectându-se de pe hard disc fi șierul dorit.
2. Pentru a ascunde un m esaj, se apas ă "New Messge" și apoi "Next",
deschizându-se fereastr a "Instant Mes sage":

Pașii de m ai sus se rep etă dacă dorim să ascundem mai m ulte fișere.

Pentru a îndep ărta un fișier sau un mesaj ce trebuia ascun s, se se lectează din
tabel și apo i se apasă butonul Rem ove,

Pasul 3: Specificarea p arolei

La final, se dă click pe butonul
pentru a porni procesul de
ascundere. Când procesul de ascundere este com plet, salvați fișierul rezu ltat.

2.4 Descop erirea unui fi șier ascuns
Pasul 1: Alegerea fi șierului purtător
Se dă click pe butonul
din dreapta și se selecteaz ă fișierul cărăuș;

Pasul 2: Introducerea parolei de a cces
Dacă la ascunderea fi șierului original s-a introdus o parol ă, acum ea trebuie
cunoscută și introdus ă.
Se apasă butonul
pentru a începe procesul de descoperire a
fișierului as cuns. Dup ă ce procesu l este term inat, în tabelul de dedesubt va apare fi șierul
ascuns în form ă clară. Pentru al deschide se d ă dublu clic pe el.

101

Laborator Securitatea sistemelor inform atice Lucra rea nr.3

3 Firewall-uri
3.1 Obiective:
ƒ înțelegerea func ționării și a rolului unui firewall în securitatea sistem elor
informatice;
ƒ pornirea și configurarea firewall-ului sist emului de operare Windows XP;

3.2 Generalit ăți/Defin iții Fire wall
Un paravan de protec ție poate ține la distanță traficul Inte rnet cu intenții rele, de
exem plu hackerii, vierm ii și anu mite tipur i de viru și, înainte ca ace știa să pună
problem e sistem ului. În plus, un paravan de protec ție poate evita participa rea
computerului la un atac împotriva altora, f ără cunoștința dvs. Utilizare a unui par avan de
protecție este im portantă în spec ial dacă sunteți conectat în perm anență la Intern et.
Un firew all este o ap licație sau un echipam ent hardware care m onitorizeaz ă și
filtrează permanent tran smisiile de date r ealiza te între PC s au rețeaua local ă și Internet,
în scopul implem entării unei "politici" de filtrare. Această politică poate însem na:
• protejarea resur selor rețelei de restul utilizatorilor din alte re țele sim ilare –
Intern etul -> sunt identifica ți posibilii "m usafiri" nepofti ți, atacurile lor asupra
PC-ului sau re țelei locale putâ nd fi oprite.
• Controlul re surselo r pe c are le vor ac cesa utiliza torii loca li.

3.2.1 Funcționar ea firewall- urilor
De fapt, un firewall, lucreaz ă îndeaproape cu un program de routare, exam inează
fiecare pach et de date din re țea (fie cea local ă sau cea ex terioară) ce va trece prin
serverul gateway pentru a determ ina dacă va f i trim is mai departe spre destinație. Un
firewall include de asemenea sau lucreaz ă împreună cu un server proxy care face cereri
de pachete în num ele stațiilor de lucru ale utiliza torilor. Î n cele m ai întâ lnite caz uri
aceste prog rame de protec ție sunt in stalate p e calculat oare ce îndeplinesc num ai această
funcție și sunt instala te în f ața routerelor.
Soluțiile f irewall se împart în dou ă mari categ orii: pr ima este repre zentată de
soluțiile profesionale hardware sau software dedicate protec ției întregu lui trafic dintre
rețeaua unei întreprinderi (institu ții -> ex.: Univ ersitate a "Alexandru Ioan Cuza", Ia și) și
Intern et; iar cea de a doua catego rie este rep rezentată de firewall-urile personale
dedicate m onitorizării traficului pe c alculatorul personal.
Utilizând o aplicație din ce-a de a doua categorie ve ți putea preîntâm pina
atacu rile co legilo r lipsiți de fair-play care încearc ă să acces eze prin m ijloace m ai mult
sau m ai puțin ortodoxe resurse de pe PC-ul dum neavoastr ă. În situația în care dispune ți
pe calculato rul de acas ă de o conexiune la Internet, un firewall personal v ă va ofe ri un
plus de siguran ță trans misiilor de date. Cum astăzi majorita tea utiliz atorilor tind să
schim be clasica conexiune dial-up cu m odalități de con ectare mai eficiente (cablu,
ISDN, xDSL sau telefon m obil) , pericolul unor atacuri reu șite asupra sistem ului
dumneavoastră crește. Astfel, m ărirea lărgim ii de band ă a conexiu nii la In ternet
facilitează posibilitatea de "strecurare" a in trușilor nedori ți.

102

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
Astfel, un f irewall este f olosit p entru două scopuri:
• pentru a p ăstra în afara re țelei utiliza torii rău intenționati (v iruși, vierm i
cyberne tici, hacker i, cra ckeri) ;
• pentru a p ăstra utilizato rii loca li (ang ajații, clienții) în rețea .
3.2.2 Politic a Firewall-ulu i
Înain te de a constru i un firewall trebuie hot ărâtă politica sa, pentru a ști care va
fi funcția sa și în c e fel se va im plementa ac eastă funcție.
Politica f irewall-u lui se poate alege urm ând câțiva pași simpli:
• alege ce servicii va deservi firewall-ul
• desem nează grupuri de utilizatori care vor fi proteja ți
• definește ce fel de protec ție are nevo ie fiecare g rup de utilizatori
• pentru serviciul fiec ărui grup descrie cum acesta va fi protejat
• scrie o d eclarație prin care oricare alte for me de access sun t o ilegalitate
Politica v a deveni tot m ai com plicată cu tim pul, dar deocamdat ă este bine s ă fie
simplă și la obiect.
3.2.3 Clasificări
Firewall-urile pot fi clasificate dup ă:
• Layerul (stratul) din stiva de re țea la care opereaz ă
• Modul de implem entare

În funcție de layeru l din stiva TCP/IP (sau OSI) la care op erează, firewall-ur ile
pot fi:
• Layer 2 (M AC) și 3 (datagram ): packet filtering.
• Layer 4 (transport): tot packet filtering, dar se poate diferen ția între pro tocoale le
de transport și există opțiunea de "sta teful firewall", în ca re sistem ul știe în oric e
mom ent care sunt prin cipalele caracteris tici ale urm ătorului pach et așteptat,
evitând astf el o întreag ă clasă de at acuri
• Layer 5 (ap plication): applica tion le vel f irewall (exis tă mai multe denu miri). În
general se com portă ca un server proxy pentru diferite protocoale, analizând și
luând decizii pe baza cuno ștințelor despre aplica ții și a con ținutului
conexiunilor. De exem plu, un server SMTP cu antiv irus poate fi con siderat
application f irewall pentru em ail.

Deși nu este o distinc ție prea corect ă, firewallurile se pot împ ărți în do uă mari
catego rii, în func ție de modul de im plem entare:
• dedicate, în care disp ozitivul care rulea ză software-ul de f iltrare este dedic at
acestei opera țiuni și este practic "in serat" în re țea (de obicei chiar dup ă router).
Are avantajul unei s ecurități spo rite.
• combinate cu alte facilit ăți de networking. De exem plu, routerul poate servi și pe
post de f irewall, iar în c azul rețelelo r mici același calcu lator poate juca în acela ți
timp rolul d e firewall, r outer , file/print server, etc.

103

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
3.2.4 Ce "poate" și ce "nu poate" s ă facă un firewall?
Un firewall poate s ă:
• moni torizeze căile de pătrundere în re țeaua privat ă, perm ițând în felul acesta o
mai bună monitor izare a tr aficulu i și deci o mai ușoară detect are a încercărilor
de inf iltrar e;
• blocheze la un moment dat traficul în și dinsp re Intern et;
• selecteze accesul în spa țiul privat p e baza informa țiilor conținute în pach ete.
• perm ită sau inte rzică accesul la re țeaua public ă, de pe anum ite stații specificate;
• și nu în cele din urm ă, poate izola spa țiul priv at de cel pub lic și realiza interfa ța
între cele do uă.

De asem eni, o aplica ție firewall nu poate:
• interzice importul/exportul de inform ații dăunătoare vehiculate ca urm are a
acțiunii răutăcioase a unor utilizatori apar ținând spa țiului privat (ex : căsuța
poștală și atașamentele);
• interzice scurgerea de infor mații de pe alte c ăi care oco lesc firewall-ul (acces
prin dial-up ce nu trece p rin rou ter);
• apăra rețeaua privat ă de utiliz atorii ce f olosesc sistem e fizice m obile de
introdu cere a date lor în r ețea (USB Stick, dischet ă, CD, etc.)
• preveni m anifestarea ero rilor de proiectare ale aplica țiilor ce realizeaz ă diverse
servic ii, precum și punctele slabe ce decurg di n exploatarea acestor gre șeli

3.3 Informa ții despre firew all sun Window s XP
3.3.1 Cum încep să utilizez un firewall?
Un firewall este înco rporat în Micro soft Windows® XP. Este posibil s ă începeți
chiar as tăzi, utilizând caracter istica "Parava n de prote cție W indows XP pe ntru
conexiunea Intern et". În majorita tea situațiilor, pașii din pagina despre protejarea PC-
ului vă ajută să activați firewall-ul pentru conexi unea Internet în W indows XP și trebuie
utiliza t dacă aveți un singur com puter cu care v ă conectați la Inte rnet. Câteva op țiuni
suplim entare pentru firewall m ai sunt dispon ibile, aces tea fiind solu ții soft ware și
hardware. Acestea ar trebui luate în considerare dac ă aveți o versiune m ai veche de
Windows, dac ă aveți problem e de c ompatibilitate cu firewall-ul din W indows XP sa u
dacă intenționați să utilizați un f irewall cu cara cteristici diferite.
Versiunile de W indows ante rioare W indows XP nu se li vrau cu un firewall
pentru conexiunea Internet. Dac ă aveți un computer cu o ve rsiun e mai veche de
Windows și acesta este conectat direct la Internet, ar trebui s ă cum părați și să utilizați un
firewall.
3.3.2 Cum aflu c e versiune de Windows utilizez?
1.Faceți clic p e Start , apoi pe Run.
2.În caseta de dialog Executare , tastați winver . Faceți clic pe OK. O casetă de dialog v ă
va spune ce versiune de W indows executa ți.
Utilizato rii de W indows XP car e doresc caracteristici dife rite într-un firew all pot
să utilizeze, de asem enea, un firewall hard ware sau unul software de la un alt
104

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
producător. În unele s ituații, utilizato rii avansați pot opta pentru utilizarea în re țea atât a
unui firewall software cât și a unuia hardware.
3.3.3 Verificarea stării Windows Firewall
Pentru a verifica dac ă verify that W indows Firewa ll este pornit se efectueaz ă
următorii pași:
1. Click Start , and then click Control Panel .
2. From the Control Panel , click Windows Firewall.

3. Dacă Windows Firewall este On, atunci este pornit.
4. Dacă Windows Firewall este Off, atunci el este în chis, pentru al porni click pe
On.

3.3.4 Ad ăugarea unei excep ții în Windows Firewall
Uneori, W indows Firewall blocheaz ă un program care este folosit pentru
conectarea la Internet. Dac ă dorim ca acest p rogram să aibă acces la Intern et, putem
adăuga în Windows Firewall o excep ție pen tru acesta, lucru care se efectu ează astfel:
1. Dăm clik pe tab-ul Exceptions )figura de m ai sus);
2. Clik pe Add Program …
3. în Add a Program dialog box, click Browse.
105

Laborator Securitatea sistemelor inform atice Lucra rea nr.3

4. și căutăm aplicația căreia dorim să-i permitem să treacă de Firewall;
5. Windows Firewall va ad ăuga o excep ție pentru program ul selectat. Și îi va
perm ite să se conecteze pe Internet cu un alt calculator. (de exem plu Yahoo
Messenger).
3.3.5 Probleme de com patibilitate cu ISP, hardware sau software
Conexiunile la Internet ale uno r distribuitori ISP nu apar în folderul Conexiuni
în rețea. De exem plu, versiunile m ai vechi ale program elor de conexiune AOL sau MSN
nu sunt compatibile cu firewall-ul din W indows XP. Dac ă vă confrunta ți cu aceast ă
incom patibilita te, luați legătura direc t cu distribu itorul ISP pentru asisten ță. În anum ite
cazuri, distribuito rii IS P furnizeaz ă un firewall personal alte rnativ, fie soft ware, fi e
hardware.
În anum ite cazuri, conexiunea pentru ISP poate ap ărea în folderu l Conexiuni în
rețea, însă nu veți ved ea fila Complex în cas eta de dialog Proprietăți conexiune sau nu
veți vedea caseta de s electare Paravan de protec ție a con exiunii la Internet . Aceasta
înseam nă că software-ul de conexiune ISP nu este com patibil cu firewall-ul.
Firewall-ul poate s ă interfereze cu anum ite pro grame și utilitare de rețea de pe
computer. În m ajoritatea cazurilo r, aveți pos ibilita tea să corectați selectiv ac este
incom patibilități reglând func ționar ea firewall-ului sau c erând asistență furnizorului de
software sau ISP. Uneori, o versiune nou ă de software va corecta aceast ă problemă.
3.4 Desf ășurarea lucr ării
Studenții vor efectua urm ătoarele o perații:
• vor verifica dac ă Windows Firewall este pornit, iad dac ă aces ta este în chis îl vor
porni;
• vor adăuga o excep ție pentru aplicația "W indows Messenge", a c ărei locație pe
hard disc este "C:\Program Files\Messenger\m smsgs.exe";
106

Laborator Securitatea sistemelor inform atice Lucra rea nr.3

3.1 Păcălirea Fire wall/IDSurilor și ascunderea identit ății
Mulți pionieri ai internetului au prev ăzut o rețea globală deschisă cu un spa țiu
universal de adrese IP perm ițând conexiuni virtuale între oricare dou ă noduri. Acest
lucru perm ite hostu rilor să acționeze ca parten eri în com unicație, să serveas că și să
obțină informații unul de la celalalt. Oamenii pot accesa sistem ele de acas ă, să schimbe
temperatura în cas ă sau să deschidă ușa pentru oaspe ții grăbiți. Viziunea conectivit ății
universale a fost în ăbușită de m icșorarea spa țiului de ad rese și de problem ele de
securitate. L a început ul anilor 90, organiza țiile a u început implem entarea f irewallu rilor
cu scopul precis de reducere a conectivit ății. Rețele uriașe au fost separa te de Interne tul
nefiltrat pr in aplicații proxy, traduceri de adrese de re țea (NAT) și filtre de pache te.
Fluxul nerestric ționat d e informații a făcut loc canalelor d e com unicație aprob ate și
supuse unor anum ite reguli, precum și controlu lui datelor ce trece p rin ele.
Obstacole le din rețea cum ar fi firewallurile pot face din m aparea rețelei o
operație extrem de difi cilă. Nu va deveni m ai ușor din mom ent ce constrângerile
aplicate re țelei rep rezintă adesea un scop al im plem entării no ilor ech ipam ente în re țea.
Nu e m ai puțin ad evărat ca Nm ap oferă multe opțiuni pentru în țelegerea aces tor rețele
complexe și să verifice dac ă filtrele funcționează așa cum trebuie. Chiar sup ortă
mecanism e de depășire a sistem elor de ap ărare prost im plem entate. Pune ți-vă în pielea
unui atacator și aplicați tehnici din aceas ta secțiune în re țeaua dum neavoastră. Lansați
un atac sărit FTP, o scanare Idle, o frag mentare a atacu lui sau încercați realizarea u nui
tunel printr-un proxy de-al dum neavoastr ă.
În plus fa ță de restric țiile rețelelor, com paniile au încep ut să monitorizeze
traficu l cu sistem e de detec ție a intruziunilor (IDS). Toat e IDSurile cunoscute sunt
livrate cu re guli ca re să detecteze s canările Nm ap deoarece aces tea preced de obicei un
atac. Multe dintre aces tea sau tran sformat în sistem e de prevenir ea intruziun ilor ( IPS)
care blo chează în m od ac tiv traficul presupus m alițios. Din p ăcate pentru adm inistratorii
de rețea și vânzătorii IDSurilor, detec tarea în m od corect a re lelor inten ții prin
analizarea p achetelor es te o p roblemă dificilă. Atacato rii cu răbdare, îndem ânare și
ajutor din partea anum itor opțiuni Nm ap pot în m od norm al să trea că de IDS
nedetecta ți. Între tim p, adm inistrato rii au de a face cu o m ulțime de a lerte false când
trafic inocen t este greșit diagnosticat și se em ite o atenționare sau este chiar blocat.
Câteodată oam enii sugereaz ă ca Nmap nu ar trebui s ă ofere func ții de păcălire a
regulilor f irewallur ilor sau de trece rea nedetectata de IDS. Argum entează prin faptul c ă
pot fi folosite de atacato ri. Problem a în acest ra ționam ent este că ataca torii to t vor găsi
instrum ente sau patch uri pentru Nm ap pentru a realiza acest lucru. Între timp,
administratorii pot descoperii c ă munca lor es te m ult mai dificilă. Instalarea num ai a
serverelo r FTP m oderne, cu patchur ile ap licate la zi e ste o m etodă mult mai bună de
protecție decât prev enirea distribu irii instrumentelo r ce im plem entează atacu rile sărite
FTP.
Nu există nici o op țiune m agică în Nm ap pentru detectarea și păcălirea
firewallu rilor si a sistem elor ID S. Acest lucru ia îndem ânare și experien ță O prezen tare
detaliată este dincolo de scopul acestei lucr ări de labo rator, care listea ză doar opțiunile
relev ante și descrie ce fac ele.

-f (fragm entează pachetele);
–mtu (foloseste MTU s pecificat – Un itatea Ma xima de Transm itere)
107

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
Opțiunea -f face ca scanarea cerut ă (inclu zând scanarea p ing) să foloseasc ă
fragm ente m ici de pachete IP. Id eea es te îm părțirea head erulu i TCP în m ai multe
pachete pentru a îngreuna m isiunea filtrelo r de pachete, sistem elor de detectare a
intru ziunilor și a altor elem ente de detectare a activ ității. Atenție cu aceas ta opțiune!
Unele program e au problem e în manevrarea a cestor pachete m ici. De exem plu Sniffi t
eșua după prim irea primului fragment. Specifica ți această opțiune o dat ă și Nm ap va
împărți pachetul în fragm ente de opt bytes sau m ai puțin după headeru l IP. Astfel, un
header TCP de 20 bytes va fi îm părțit în 3 p achete. Dou ă de opt bytes și unul cu ultim ii
patru. Desigur, fiecare f ragment are propriul h eader TCP. Specifica ți –f încă o dată
pentru folosirea a 16 bytes pe fragm ent (reducând num ărul de fragm ente). Sau pute ți
specifica propriile dim ensiuni cu op țiunea–mtu . Nu specifica ți și -f dacă folosiți –
mtu. Dim ensiunea trebu ie să fie un multiplu d e 8. Pachete le fragmentate nu vor trece de
filtrele de pachete și firewallur ile c are interogh ează toate fragm entele IP, cum ar fi
opțiunea CONFIG_IP_ALW AYS_DEFRAG din kernel ul Linuxului, unele re țele n u-și
pot perm ite pierderea de perfor manță cauzată de aceste configur ări și le dezactiv ează.
Altele nu p ot activa configurările de acest gen deoarece fr agmentele pot intra pe rute
diferite în rețea. Unele sistem e defragm entează pachetele d e ieșire în kernel. L inux cu
modulul de urm ărire a conexiunii din ipta bles este un exem plu. Realiz ați o scanare și
rulați în ac elași timp u n sniffer de genul Ethereal pentru a vă asigura c ă pachetele
sunt fragmentate. Dacă sistem ul de operare v ă crează problem e, încercați opțiunea –
send-eth de sărire a n ivelului IP și de trimitere d e cadre ethe rnet bru te.

-D <momeala1 [,momeala2][,ME (EU)],…> (Scanare aco perita de m omeli)

Face ca o scanare acoperit ă de momeli să fie ex ecutată, ceea ce face ca ținta să
creadă că momelile spe cificate ca argument scaneaz ă și ele rețeaua. As tfel IDS po ate
raporta 5-10 scan ări de porturi de la adre se IP unice, dar nu va știi care adres ă scanează
cu adevărat și care sun t mom eli inocente. Cu toate ca aceas ta tehnica po ate fi contrat ă
prin urmărirea căii prin routere, ignorarea r ăspunsului și alte m ecanism e active, ea
reprezintă o tehnică eficientă de ascundere a adresei IP.
Separați fiecare mo meală prin virgule și folosiți opțional ME (adică propria
adresa IP ) ca una dintre mom eli pentru a reprezenta adev ărata poziție a a dresei IP rea le.
Daca pune ți ME în a șasea poziție sau mai târz iu, unele detectoare de scan ări de porturi
(cum ar fi Solar Design) pot s ă nici nu afi șeze adresa IP real ă. Dacă nu folosi ți ME, nmap
îl va pune într-o pozi ție aleatoare.
Rețineți faptul c ă țintele pe care le f olosiți ca mom eli trebu ie să fie active sau
altfel ris cați să inundați cu pachete SYN ținta. În aceea și ordine de idei, este u șor de
determ inat cine face scanarea dac ă o singur ă adresă IP e ste activă. E de preferat s ă
utilizați adr ese IP în lo c de num e (astf el încât num ele hostului dum neavoastr ă să nu
apară în logurile DNSului țintă).
Mom elile s unt f olosite atât în pin gul in ițial (folosind ICMP, SYN, ACK sa u
orice altcev a) și în tim pul scanării ef ective de portur i. Momelile sun t de asem enea
folosite la detectarea sistem ului de operare ( -O). Mom elile nu f uncționează cu detecția
versiun ii sau scanarea T CP connect().
Nu folosi ți prea m ulte mom eli deoarece pot în cetin i scanarea și o pot face m ai
puțin cor ectă. De asem enea, unii ISP vor f iltra pach etele f alse, dar m ulți nu
restricționează pachetele IP de loc.
-S <Adresa_IP> (Seteaza adres a IP sursa)
108

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
În anum ite circum stanțe, Nm ap se poate af la în im posibilitate a deter minării
adresei su rsă (Nm ap va anun ța dacă acest lucru s e întâmpla). În aceast ă situație, folosiți
–S cu adres a IP a in terfeței pe care dori ți să trim iteți pachetele.
Altă posibilă utilizare a acestei op țiuni este s ă faceți ținta să creadă că este
scanata de altcineva . Imaginativă o com panie perm anent scanat ă de un com petitor!
Opțiunea –e va fi în general necesar ă pentru as tfel de utilizare si -P0 este de asem enea
recom andă.
-e <interfata> (Foloseste in terfata specificata)

Spune Nmapului ce interfa ță să foloseasc ă pentru tr imiterea și prim irea
pachetelor. Nm ap ar trebui s ă poată dete rmina autom at ace st lucru, da r vă va anunța
dacă nu poate.
–source-port <numarul_portului>;-g <numarul_portului> (Seteaza portu l
sursa)

O greșeală surprin zător de des întâ lnită o reprezint ă configurarea rela țiilor de
încred ere în funcție de num ărul portului sur să. Este ușor de înțeles cum stau lucrurile.
Un adm inistrator instalează un nou firewall și este apo i îngropat în p lângeri d in par tea
utilizatorilor ne mulțumiți ale căror a plicații nu m ai funcționează. În particular, DNSul
poate fi blocat deoarece r ăspunsurile UDP DNS de la serv erele externe nu m ai pot intra
în rețea. FT P este un alt ex emplu. În transf erurile FTP active, serv erul încearc ă să
stabileas că o conexiune înapoi la cl ient pentru transferarea fi șierului so licitat.
Soluții secu rizate la aceste prob leme exis tă, de obicei sub form a de proxiuri la
nivelu l aplic ație sau m odule firewall care analizeaz ă protocoalele. Din p ăcate ex istă și
soluții mai simple și mai nesigure. Notând faptul c ă răspunsurile DNS vi n de la portul
53 și cele de la conexiunile FTP de la portul 20, mul ți adm inistratori au căzut în capcana
perm iterii necondi ționate a traficulu i de la aceste portu ri. Adesea ei presupun c ă nici un
atacator nu va observa și exp loata as tfel de găuri în firewall. În alte c azuri,
administrato rii cons ideră aceas ta rezolvare ca una pe term en scurt pân ă când vor
implem enta o solu ție mai sigură. Apoi ei uit ă să mai facă upgradeul de securitate.
Adm inistra torii rețelelor supraînc ărcate nu sun t singurii care cad în aceast ă
capcană. Num eroase produse au fost livrate cu aceste reguli nesigure. Chiar și Microsoft
are partea ei de vina. Filtrele IPsec livrate cu W indows 2000 și Windows XP con țin o
regulă implicită care per mite traf icul oricărui pachet UDP cu portul sursa 53 (DNS) sa u
67 (DHCP).
Nmap oferă opțiunile -gsi–source-port (care sunt echivalente) pentru
exploatarea acestei sl ăbiciuni. Specifica ți un num ăr ca argum ent și Nmap va trim ite
pachete de la acel po rt oric ând aces t lucru es te pos ibil. Nm ap trebu ie să folosească
portur i diferite pen tru an umite tes te de detectare a sistem ului de operare și cererile D NS
ignoră opțiunea –source-port deoarece Nmap se bazeaz ă pe librăriile sistem ului
pentru a le m anevra. Multe scan ări TCP, incluzând-o pe cea SYN, suport ă această
opțiune, la fel ca și scan area UDP.
–data-length <numar> (Adaugă un număr aleator de date la pachetul trim is)

În m od norm al Nm ap trim ite pach ete m inimaliste conținând doar headerul.
Astfel pachetele TCP au în general 40 bytes și cererile de r ăspuns ICMP doar 28.
Această opțiune adaug ă un num ărul dat ca argum ent de bytes, genera ți aleator, la
majoritate a pachete lor trim ise. Pach etele pen tru detecția sistem ului de operare ( -O) nu
109

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
sunt afectate, dar m ajoritatea p ingurilo r și scanărilor de porturi sunt. Acest lucru
încetinește viteza de scanare, da r pachetele pot fi m ai puțin suspicio ase.
–ttl <valoare> (Seteaza cam pul IP tim e-to-liv e – tim p de viata)
Setează câmpul IP tim e-to-live – tim p de viata – la valo area s pecificată.
–randomize-hosts (Scaneaza hos turile in ord ine aleatoare)

Spune Nm apului să aranjeze aleato r grupuri de 8096 hosturi înainte de scanare.
Această opțiune poate face scanarea m ai puțin vizibil ă pentru anum ite sistem e de
monitoriz are a rețelei, în special cân d se com bină cu un specificato r mic de tim p. Dacă
vreți ca aranjarea aleatoare s ă se realizeze pen tru grupuri m ai mari, creșteți valoarea
PING_GROUP_SZ din nmap.h si și recom pilați. O solu ție altern ativă o reprezint ă
generarea listei de IPuri ce urm ează a fi scanat ă cu o scanre de tip lista ( -sL -n –
oNnumefisier ), și să realizați aranjarea aleatoare a lor cu un scrip t Perl, apoi s ă
furni zați întreaga list ă Nmapului cu op țiunea -iL.
–spoof-mac <adresa mac, prefix, numele vanzatorului > (Falsifica adresa
MAC)

Cere Nm apului să folosească adresa MAC furnizat ă pentru to ate cad rele ethernet
pe care le trim ite. Aceas tă opțiune implic ă –send-eth pentru a se asigura c ă Nmap
trimite pach etele la n ivelul rețea. MAC-ul specificat poate avea câteva for mate. Dacă
spcificați șirul “ 0”, Nmap aleg e un MAC complet aleator pentru s esiunea resp ectivă.
Daca șirul furnizat este un num ăr par de digi ți hexa (cu perechile separate prin
caracteru l “:”), Nm ap va folosi respectiva adresa MAC. Dac ă mai puțin de 12 digi ți sunt
furni zați, Nm ap umple 6 bytes cu v alori aleatoare. Dac ă argum entul nu es te nici 0, nici
șir hexa, Nm ap caută în nmap-mac-prefixes pentru a g ăsi un produc ător ca re să
conțină șirul dat (căutare insenz itivă). Dacă o asemănare este g ăsită, Nm ap folos ește
identificatorul unic al vânz ătorului (3 bytes) și completează cu 3 bytes ale și aleator.
argum entele valide ale o pțiunii
–spoof-mac sunt Apple 0 ,01:02:03:04:05:06 , deadbeefcafe , 0020F2 , și Cisco .

110

Laborator Securitatea sistemelor inform atice Lucra rea nr.4

4 Proxy server
4.1 Obiective:
ƒ înțelegerea func ționării și a rolului unui se rver proxy în securitatea sistem elor
informatice;
ƒ pornirea și configurarea unui server proxy s ub sistem ului de operare Windows
XP;
ƒ instalarea și configurarea WinGate.

4.2 Generalit ăți/Defin iții Server Proxy

Probabil c ă mulți dintre dum neavoastră, dacă vă veți hotărî să instalați un astfel
de server pentru re țeaua la care sunte ți conectați, veți fi puși în f ața unor decizii destul
de grele, problem a configur ării unui astfel de sistem fiind destul de com plicată. În
continuare se vor prezenta câteva solu ții în a cest sen s, pen tru m ai multe va riante de
rețea (W indows NT sa u W indows 2000, Unix) pentru a v ă ajuta să insta lați și să
configura ți cu succes un astfel de p rogram.
4.3 Server Pro xy pentru WINDOWS

Prim a soluție se preteaz ă platformelor W indows NT sau W indows 2000 și
poartă num ele de Microsoft Proxy 2.0. Dup ă ce vă hotărâți să procedați la ins talarea
acestu i prox y va trebui s ă validați pentru ins talare (să bifați sau să debifați) opțiunile
necesare pentru ca serverul s ă funcționeze în param etrii doriți de dum neavoastră.
Recom andate sunt opțiunile de in stalare a s erverului propriu-zis, share-ul pentru clien ții
compatibili W indows NT și Windows 9x, uneltele de adm inistrare și ev entual
docum entația și suportul pentru clien ții ce folosesc W indows NT Alpha sau W indows
3.x.
Stabilir ea valorii cache
Al doilea pas este configurarea cache-ulu i, pentru aces t lucru ave ți nevoie de o
partiție NTFS, celelalte tipur i nefiind suportate. Pute ți să nu selecta ți instalarea cache-
ului, dar atunci nu ve ți beneficia d ecât de op țiunile de securitate ale serverului. V a
trebu i să specificați valoarea cache-ului, pentru cal culul acesteia fiind recom andată
formula 0,5xC+100MB, unde C este num ărul de clien ți deserviți de server.
Tabela de adrese loca le
În a treia etap ă va trebui să configura ți tabe la de adrese loc ale (Loc al Address
Table – LAT). Prin interm ediul acestei tabele clien tul pro xy va ști care sunt adr esele
locale din re țea în s copul de a le contacta f ără a m ai „trece” prin serverul proxy. Aici
aveți mai multe op țiuni, put eți adăuga un interval de adrese (Add private ranges), dar
trebuie avut în vedere c ă aces tea vor fi accep tate ca fiin d adrese interne referitor la
Intern et și procedura trebuie execu tată cu atenție pentru a nu se „strecu ra” vreo ad resă
externă nedorită. De asem enea pute ți încărca ad resele existen te în tabela de rutare (Load
from NT internal Routin g Table) ale tuturor ada ptoare lor de rețea sau le pute ți selec ta
doar pe cele dorite. În cazul în care exist ă adapto are de rețea conectate la o re țea externă
trebu ie să selectați „Load known address rang es from the following IP interface cards”
111

Laborator Securitatea sistemelor inform atice Lucra rea nr.4
și apo i să selectați doa r dispo zitivele inte rne. Puteți, bin eînțeles, să inse rați sau să
ștergeți adrese specifice din LAT, cu condi ția de a nu introduce ad rese IP extern e.

Configurarea clien ților
Prim a dată trebu ie să stabiliți cum se vor con ecta clien ții la server, aceas ta
făcându-se în dou ă moduri, fie dup ă num ele de host fie dup ă adresa IP. A treia op țiune,
configurarea m anuală, nu este d isponibilă decât dac ă reinstalați serverul proxy, caz î n
care pu teți păstra sau suprascrie configura ția deja existent ă.
Apoi este recom andat să optați pentru configurarea autom ată a browserelor W eb
pentru a suporta proxy, deci validarea op țiunii „Autom atically conf igure the clients W eb
browser during the client setup” și configurarea autom ată definită în fișierul Ar ray.d ll.
Valoarea pentru portul TCP nu trebuie m odificată (por tul prestabilit este TCP 80).
Se poate renun ța la folosirea configura ției exis tente predef inite în Ar ray.dll, pu tând fi
folosit un script de configurare, sau se pot modifica unele set ări din Array.dll prin
apelarea la configurarea avan sată a c lienților (Advanced Client Configuration)
disponibil ă ulterior acces ării propriet ăților (Properties). În acest punct pute ți stab ili dacă
browserele Web vor folosi proxy pentru serverele locale, op țiune inițial nevalid ată. De
asem enea pute ți seta ca pentru an umite adres e IP conectarea s ă nu se facă prin
interm ediul proxy, adresele și măștile lor de subre țea trebuind s ă le specifica ți în
fereastra de m ai jos. Poate s ă se renunțe la proxy în favoarea conect ării directe pentru
anum ite dom enii și se poate m odifica ruta de siguran ța (în cazul în care serverul p roxy
nu m ai este func țional se recurge la o rut ă alternativ ă care poate fi un alt proxy sau
conectarea d irecta la Internet).
Limita rea a ccesului
În acest pun ct se stab ilesc criteriile de limitare a accesu lui la unele pro tocoale
sau servicii Interne t. Puteți dispun e de contro lul accesulu i pentru WinSock Proxy
Service, pentru W eb Proxy Service sau pentru am ândouă. Inițial, am bele sunt selec tate
și e bine de știut că în configura ția prestab ilită nu se ofer ă acces nim ănui din re țeaua
internă către Internet prin serverul proxy. Dac ă optați pentru configurația pres tabilită
trebu ie apo i să creați drepturi (pentru grupuri, sta ții solita re sau pen tru toata rețeaua
internă) privind conectarea la Inte rnet prin interm ediul serv erulu i proxy . De asem enea
se poate beneficia de op țiunea filtr ării de pach ete în cazu l în care a ți optat pentru
instalarea u neltelor de adm inistrare. Aceast ă filtrare de pach ete lim itează tipul de trafic
și de conexiuni pe care util izato rii ex terni le fac c ătre rețeaua intern ă.
Înain te de a apela la un serv er proxy trebuie avute în vedere configura ția și structura
rețelei și de software-ul de re țea de pe sta țiile clien t folosit pentru a c ontacta re țeaua
externă. În mom entul implem entării se rveru lui se re comandă să faceți o lis tă cu to ate
aplic ațiile T CP/IP f olosite d e către clienți pen tru con ectarea la re țeaua externa, în
special treb uie avute în vedere bro wserele W eb folosite d eoarece fiecare ap licație ce
doriți să foloseasc ă serve-rul proxy trebuie configurat ă în acest s ens. Browserele
cunoscute, cum sunt Internet Explorer sau Netscape, pot fi configurate autom at, dar
poate fi nevoie de configurare m anuală pentru alte aplica ții. Integrarea serverului proxy
în rețea se află în strânsă legătură cu m odul în care clien ții se conecteaz ă la Intern et. De
exem plu, dacă doriți forțarea conexiunii num ai prin interm ediul proxy, trebuie s ă aveți
grijă să nu m ai existe alte rute către In ternet d isponibile . În acest caz este esen țial să
dezactiva ți opțiunea „IP forwarding” pentru serverul dumneavoastr ă. Acest lucru se
poate face din pagina de propriet ăți pentru TCP/IP, și în cazul în care nu dezactiv ați
aceas tă opțiune serverul pe care es te instalat proxy poate face rutarea de pachete f ără a
112

Laborator Securitatea sistemelor inform atice Lucra rea nr.4
mai folosi proxy. De asem enea trebuie verificate și routerele existente ce pot oferi acc es
la In ternet, dacă acestea exis tă trebuie s ă satisfacă aceleași condiții de control și
securitate oferite de proxy.
4.4 Desf ășurarea lucr ării
4.4.1 Instalare și configurare server proxy WinGate
Versiunea W inGate 6.2.1 se poate download-a și folosi tim p de 30 de zile gratuit
de pe http://www. wingate.com /download.php .
Cele m ai indicate m oduri de instalare a WinGate sunt prezentate în figura 1, în
care serveru l WinGate are leg ătură directă la Internet sau prin interm ediul unui m odem
sau router. Pe aceast ă interfață, Serverul are o adres ă IP public ă. Pentru conexiunea la
rețeaua local ă, poate avea o a doua interfa ță, conectat ă cu un switch pentru a perm ite
accesu l mai multor utilizatori.

Configurarea adaptorului pentru LAN
Placa de re țea de pe Server ca re va fi conectat ă la LAN, va fi configurat ă static
cu un IP privat (vezi figura 1), ia r câm purile pentru Default Gateway și DNS server for
fi lăsate goale.
Configurarea adaptorului pentru WAN
Placa de re țea ce va face conexiunea cu In ternetu l va fi configurat ă astfel: Stație
WinGate
1. dacă conexiunea este realizat ă direct la internet, se va da un IP static Public,
care este oferit d e către provideru l de Intern et (IS P);
2. dacă conexiunea este realizat ă printr-un router (a șa ca în lab orator), care are
pe el un server de DHCP por nit, atunci IP va fi ob ținut autom at bifând
opțiunea Obtain IP address autom atically.

Procesul de instalare
Procesul de instalare este identic oric ărei aplicații sub W indows.
La instalare trebu ie să optăm pentru una din variantele: C lient W inGate sau
Server W inGate.

Fig.2: Alegerea tipului instal ării: Server sau Client WinGate. Server
WinGate LAN WAN
Modem /
Router 192.168.1.2 /24
Switch
Stație
WinGate
INTERNE T
Stație
WinGate 192.168.1.3 /24
192.168.1.1 /24 IP: au to
Gateway : empty DG: a uto
DNS: em pty DNS: aut o 192.168.1.4 /24
Fig. 1: Instalarea și cofigurarea un ui server proxy sub Windows.
113

Laborator Securitatea sistemelor inform atice Lucra rea nr.4

WinGate Server va fi instalat doar pe un singur calcu lator, cel care va face
legătura la Internet.
Ferestrele care se deschid în procesul de instalare sunt urm ătoarele:
1. Insta ll directory
2. Important
3. NT Users and Authentic ation
4. Email
5. ENS
6. Auto Update
7. Activate W inGate
8. Begin Installation
9. Insta llation Com pleted

Procesul Po st-ins talar e
Odată ce WinGate Serv er a fost instalat, sunt câteva set ări care trebuie f ăcute
pentru a ne asigura de corectitudinea func ționării W inGate.
1. WinGate Engine – este instala t și rulează ca serviciu numit Qbik W inGate
Engine, și poate avea trei st ări de func ționare: sta ting, running și stopped.
2. Gat eKeeper – oferă toate func ționalitățile lui WinGate pentru a opera și oferă
posibiliteatea de configu rare a aces tuia cu o in terfață num ită GateKeeper, vezi figura 2.

Conexiunea la re țea
După conectarea la GateKeeper, urm ătorul pas es te șă se verifice dac ă WinGat e
a descoperit și clasificat corect conex iunea la re țea, lucru care se face astf el:
1. se selecteaz ă tab-ul Network de pe partea dreapt ă a GateKeeper;
2. în secțiunea netw ork c onnection vor fi afișate toate in terfețele descoperite
de W inGate;
3. dublu click pe interfa ța care con ectează WinGate Server la re țeaua local ă;
114

Laborator Securitatea sistemelor inform atice Lucra rea nr.4
4. în fereastra de dialog ce se de schide se alege General tab;
5. se veri fică dacă interfața est e setată pe Auto sau Internal (trusted prov ate
netw ork);

Interfața Modem / Router – Internet
1. în fereastra Network co nnecti on, dublu click pe interfa ța care conecteaz ă
Serverul W inGate la Modem , Router sau direct la Intern et;
2. în Genera l tab, se selecteaz ă butonul radio External (untrusted netw ork);
3. click OK pentru a salva modific ările.

Astfel, aceas tă interf ață va fi tratat ă de W inGate Server drept conexiunea extern ă
care va fi folosit ă pentru accesarea In ternetulu i.

Testarea co nectiv ității cu clien ții
Odată conectați la Gate Keeper și realizate se tările pentru conexiunile la re țea,
trebu ie verificat c ă toate gazdele d in LAN au acces la In ternet.
Implicit, or icine a re acc es la Internet prin W inGate, pân ă când vor fi definite
restricții. Utiliza torii pot f i urmăriți în Activity tab .

4.4.2 Instalare și configurare Client proxy WinGate
Pe stațiile d in rețea, care se vor conecta la Inte rnet prin P roxy, se va instala
aplic ația Client proxy WinGate, lucr u realizabil prin selectarea în procesul de instalare a
opțiunii Client, vezi figura 2.
WinGate Internet Clien t (WGCI) este un apllet care od ată instalat pe sta ția
client, ne ajut ă să com unicăm cu to ate cererile de navig are pe Inte rnet adre sate către
Winsock Re director Service de pe W inGate Server.
Când o aplica ție bazată pe W insock, cum ar fi un browser intern et sau un
program de e-m ail, emite o cerere c ătre o mașină client de pe Internet, W GIC va
intercepta cererea și o va trim ite la W insock Re director Service de pe W inGate Server
care va trata cererea con form setărilor clientului.
Appletul WGIC per mite definirea modului în care W insock Redirector Service
de pe W inGate Server va trata cererea unei
aplic ații client/serv er care ru lează pe
mașina clientului.

Appletul WinGate In ternet Client

Pentru a lan sa în execu ție appletul
WGI C:

Start Æ Program s Æ WinGate In ternet
Client Æ WinGate Internet Client
Applet
și va apare fereas tra de mai sus.

WGIC va g ăsi au tomat orice serv er
WinGate din re țea, atâta tim p cât W inGate
115

Laborator Securitatea sistemelor inform atice Lucra rea nr.4
server ru lează și are serviciul GDP pornit. Ser viciul GDP este spec ial pro iectat să
perm ită mașinilor WGID să detecteze prezen ța serverelo r WinGate din re țea.

În exem plul din figura de m ai sus, sunt dou ă servere W inGate, 98setx și Witch,
care au fost detectate în re țea. Se poate seta appletul WGIC care din cele dou ă serv ere
să fie folosit, m anual sau autom at.
• Server – este num ele din rețeaua W indows a PC-ului pe care ruleaz ă WinGate;
• Address – este adresa IP privat ă a Serverulu i WinGate;
• Port – este portul T CP pe care
Winsock Redirector Service
rulea ză pe serverul W inGate,
WGIC fol osește W insock
redirecto r Servi ce pentru a oferi
conectivitate la Inte rnet p rin
WinGate, Im plicit, W inGate
folosește portul 2080 pentru a
prim it cere rile W GIC.

Apăsând butonul Add, se deschide
fereastra de m ai jos, prin care se pot
adăuga m anual Servere W inGate.

Aplicații Utilizator – User Applica tion
Acest tab perm ite configurarea m odului în care W GIc va trata aplica țiile
clientului care vor rula pe m așina W GIC.
Tipurile de acces p e care le po t avea aplica țiile sunt: Local Acces, Mixed Acces
și Global Acces.

System Aplication – sun lis tate a plicațiile sistem ului și modului de acces al
acesto ra.
Major itatea aplicațiilor listate au Local Acce ss, care înc hide W GIC pentru
anum ite aplicații. În gen eral, lis ta im plicită nu necesit ă să fie modificat ă.
116

Laborator Securitatea sistemelor inform atice Lucra rea nr.4
4.4.3 Modurile de lucru ale Wi nsock Redirection Application
Aplicațiile c are rulează pe un com puter pot fi îm ărțite în dou ă catego rii:
• Aplicațiile clien t – majoritatea aplica țiilor care cer o conexiune exterioar ă cu
alte com putere aflate pe In ternet (în afara prop riei rețel) pent ru a obține anum ite
servic ii.
De exem plu, navigato rul web se co nectează la un com puter pe care ruleaz ă un
server web și cere să-i trim ită o pagină web în limbaj HTML. Sim ilar este și
servic iul de e-mail POP3.
• Aplicații Server – aceste ap licații ascultă datele de intra re ven ite d e la a lte
computere și oferă servicii către co mputerele cu care sun t conectate.

Modurile A plicație
• Local Acces s Mode
Dacă setăm aplic ația unui clien t la Local A ccess în W GIC, se suspend ă Winsock
Redirector S ervice din W inGate de tratare a cererilor ap licațiilor.
Aplicațiile d in modul de acces local vor fi ignorate de W GIC și astf el trebuie să
posede o m etodă de conexiune alternativ ă pentru a și com pleta cererile. Acest
mod face accesul local ideal pen tru aplica țiile clienților care vor ru la prin
WGI C.
În m ulte cazuri se dore ște utilizarea vitezei și simplicității WinGate NAT pentru
aplic ațiile client (aces t lucru neces ită doar o conexiune aut c ătre In ternet). Orice
aplic ație care vrem să foloseasc ă NAT trebuie seta tă să ruleze în Loca l Acces
Mode.
• Mixed Access Mode
Acest m od este sigur dar func țional doar pentru aplica țiile server. Ace st mod
perm ite întotdeauna aplicațiilor să facă orice conexiune c ătre exterior cu
Winsock redirector Service, dar va pe rmite accesul doar a com puterelor di n
aceeași rețea. Este m ai apropiat pentru aplica țiile server gen Intrane t Web sau
Ftp servers. Se num ește mixt, deoarece ofer ă o aplic ație cu conectivitate atâ t
globală cât și loca lă.
Modul de acces m ixt este alocat autom at oricărei aplic ații server care încearc ă să
asculte pe u n port sis tem (orice m ai mic de 1024). Acesta este un m ecanism de
siguranță al WGIC, care necesit ă în m od explicit se tarea aplic ații în Modul
global de Acces pentru a fi vizibil ă pe Internet.
• Global Acc ess Mode
Acest m od este utilizat când avem un server d e aplicație ce ruleaz ă pe WGIC î n
spatele serv erulu i WinGate, care are trebu ie să prim ească cereri de pe Internet
(server W eb sau Ftp).
O aplicație server poate asculta liber pe porturi sub 1024. Dar din m otive de
securitate a re țelei, conf igurația im plicită pentru W GIC nu va perm ite nici unei
aplic ații să asculte porturi sub 1024. Dac ă rulați un server cu un port sun 1024 și
doriți să fie accesibil com puterelo r din In ternet trebu ie con figurat în mdoul de
acces g lobal.
De obicei, s erveru l Web ascultă pe portul 80 iar un server FT P pe portul 21.

http://www.youngzsoft.net/ccproxy/

117

Laborator Securitatea sistemelor inform atice Lucra rea nr.5

5 Proxy server Squid pe sistem de operare Linux
5.1 Obiective:
ƒ înțelegerea func ționării și a rolului unui se rver proxy în securitatea sistem elor
informatice;
ƒ pornirea și configurarea unui server proxy sub sistem ului de operare Linux;

5.2 Generalit ăți/Defin iții Server Proxy

Probabil c ă mulți dintre dum neavoastră, dacă vă veți hotărî să instalați un astfel
de server pentru re țeaua la care sunte ți conectați, veți fi puși în f ața unor decizii destul
de grele, problem a configur ării unui astfel de sistem fiind destul de com plicată. În
continuare se vor prezenta câteva solu ții în a cest sen s, pen tru m ai multe va riante de
rețea (W indows NT sa u W indows 2000, Unix) pentru a v ă ajuta să insta lați și să
configura ți cu succes un astfel de p rogram.
5.3 Configurarea Squid pentru Linux
Squid este un W eb proxy destinat pentru a rula sub sistem ele Unix, este un
software open-source foarte capabil, ce ofer ă foarte m ulte opțiuni adm inistra torilor c e se
decid să-l utilizeze, cu condi ția de a fi instalat și configurat corespunz ător pentru a
satisf ace necesitățile rețelei. Vom încerca s ă prezentam un ghid con ținând c ele mai
importante aspecte privind conf igurarea acestu i server, clas ate pe dom eniul de in teres .
Opțiuni de re țea
Setarea portului la care Squid va face apel pentru a prim i cereri HTTP se face cu
comanda http_port. Valoarea predefinit ă a acestu i port este 3 128. Pe ntru a suprascrie î n
fișierul de configurare (squid.conf ) valoarea portului se ap elează opțiunea „-a” în lin ia
de com andă, adică #/usr/local/squid/bin/s quid -a <num ar_port>.
Com anda http_port înlocuie ște vechea „tcp_ incom ing_address”.
Pentru s etarea por tului prin c are Squid trim ite și primește mesaje ICP de la
cache-u rile vecine se folose ște comanda icp_ port. Valoarea predefinit ă pentru acesta
este 3130, iar pentru supr ascriere se utilizează opțiunea „-u”: #/usr/lo cal/squid/bin/squid
-u <num ar_port>.
Pentru a se al ătura unui grup m ulticast ca s ă prim ească mesaje m ulticas ting ICP
se folosește mcast_groups <Adresa_IP>. La aceasta op țiune se recurge doar dac ă doriți
să prim iți mesaje m ulticas t, și predefinit Squ id nu es te se tat pentru a prim i astf el de
mesaje. Pentru conectarea la distan ță cu alte s ervere și pentru com unicarea cu alte
cache-u ri folosind HTCP sau CARP este utilizat ă com anda tcp_outgoing_address
<Adresa_IP >. Valoarea ini țială este 255.255.255.255.
Pentru a prim i mesaje ICP de la alte cach e-uri s e setează udp_incom ing_address
<Adresa_IP >, a cărui valoar e prede finită este 0.0.0.0., iar pentru a trim ite pachete ICP
către celelalte cache-u ri se folose ște udp_outgoing_address <Adresa_IP>, a c ărui
valoare este im plicit 255.255.255.255.
Următoarea sec țiune se ocup ă de cazul în care se im plem entează mai m ulte
cache-u ri Squid, și anu me de opțiunile de conf igurare al e algoritm ului de selec ție a
cache-u rilor vecine.
118

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
Pentru specificarea celorlalte c ache-uri în ierarhie s e apelează la com anda
cache_peer. Aceasta se desf ășoară pe cinci câm puri, primul este num ele sau IP-ul
cache-u lui vecin ales, al doilea indic ă tipul de rela ție cu aces ta, al treilea seteaz ă portul
HTTP al serverulu i destinație iar al patru lea setează portul pentru ICP. Ultim ul câmp
este opțional, con ține u nul sau m ai multe cuvinte cheie ce vor fi specificate m ai jos.
Linia de co manda ar fi cache_peer <IP _num ber><relatie> <port_HTTP> <port_ICP>
[<cuvant_cheie_1> <cuvant_chei e_2> … <cuvant_cheie_n ].
Relația în care cache-u l curent se p oate af la cu celelalte cache-uri es te parent
(parin te), sibling (pe acela și niv el) sau m ulticast (pentru grup m ulticast). Cuvintele
cheie sunt proxy-only (pentru a nu salva local obiectele g ăsite în c ache-u l vecin) ,
weight=n (ce seteaz ă „gradul” p ărintelui, v aloarea implicită pentru n este 1, cu cât n este
mai mare cu atât cre ște gradul de importan ță al cach e-ulu i specificat), ttl=n (p entru a
seta un timp de via ță al unui m esaj ICP pen tru un gr up multicas t), no-query (p entru
vecinii ce n u suporta IC P), default (în cazul în care cach e-ul avut în v edere este v ăzut ca
„ultimă soluție”), round-robin (în cazul în care se doresc a fi folosite m ai multe linii
cache_peer), multicast-responder (ce prive ște cache-u l în cauză ca fiind un m embru al
unui grup multicas t, iar m esajele ICP nu vor fi trim ise direct c ătre acesta dar
răspunsurile ICP de la el vor fi acceptate), closest-only (pentru a prim i doar m esajele
Closest_Parent_Miss și nu First_P arent_Miss), no-digest (pentru a nu apela la acest
vecin), no-netb-exchange (prin care se renun ță la c erințele ICMP RTT de la acest
vecin), no -delay (p entru a nu perm ite accesu l acestui v ecin să influențeze întârz ierile),
login=us er:password (în cazul în care cache-u l părinte neces ită auten tificare), conne ct-
timeout=nn (pentru a specifica tim pul de așteptare pen tru realizar ea con exiunii cu acest
vecin, valoarea nn im plicită fiind 30). De avut în vedere, dac ă ați com pilat Squid pentru
a suporta H TCP, că se va proceda la conectarea TCP pe portul 4827, nefiind nici o
opțiune de a schim ba aceasta v aloare.
Pentru a lim ita dom eniile pentru care se va apela la cach e-urile vecine se
folosește cache_peer_dom ain. Linia de com andă este cache_peer_dom ain cache _host
domain [dom ain …]. Dac ă înainte de num ele dom eniului introduce ți „!” se p roduce
negarea dom eniului în cauz ă. Se pot introduce or icâte dom enii doriți, în cazul ma i
multora apelul se va opri la primul ce va da răspuns pozitiv. De exemplu com anda
cache_peer_ domain parent.m y.net.edu va trim ite pachetele c ătre serverul local do ar
dacă obiectul c ăutat exist ă pe un server în dom eniul .e du.
Este posib ilă și modificarea tipului de vecin pent ru une le domenii spec ifice. Puteți trata
câteva do menii diferit fa ță de tipul specificat în cache_peer. De exemplu
neighbor_ type_dom ain cache.m ycache.com sibling .com .net.
Tot în cadrul com enzilor folosite pentru m ai multe cache-uri intr ă și
icp_query_tim eout, maxim um_icp_ quer y_tim eout, m cast_icp_query_tim eout,
dead_peer_ timeout ce s unt urm ate de o valoare rep rezentând num ărul de m ilisecu nde
atribuite opera țiunilo r specificate în linia de com andă, operațiuni pe care nu le vom mai
explic a, titlu l lor f iind destul de sugestiv.
O altă comandă este hierarchy_stoplist … , prin care se renun ța la apelarea
vecinilor pentru anumite șiruri d e caractere ce apar în URL-uri. De exemplu,
hierarchy_stoplist asp jsp va verifica fiecare U RL prim it să vadă dacă există aces te
cuvinte, iar dac ă aces tea apar nu se va apela la vecini ci se va contacta direct serv erul
apărut in URL.
Ultim a și poate cea m ai important ă opțiune de pe acest nivel este no_cache. Prin
aceas ta lin ie de com andă se forțează apelarea direct ă a anum itor obiecte. Se face apel la
119

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
lista de control a acces ului, deci v or exista de fapt dou ă linii de com andă. Starea
prestabilit ă este:
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
Acl-ul QUERY asigur ă că URL-ul con ținând cgi-bin nu va fi apelat prin cache.

Opțiuni ce afecteaz ă dimensiunea cache-ului
Aceste op țiuni se tează valoarea m emoriei f olosite pentru p arametrii ca che-ulu i.
Acestea sun t cache_m em (predefinit 8MB), cache_swap_ low și cach e_swap_ high
(param etri ce procedeaz ă la în locuirea obiec telor din cache func ție de p rocentajul d e
utilizare a cache-u lui, valoarea low prestabilit ă este 90 iar high 95),
maximum_object_ size, minimum_object_ size și maximum_object_size_in_ m emory
(cu valo ri date în by tes), ipcach e_size (im plicit 1024), ipcache_low și ipcache_high
(procen taje ce m archează limitele cachingului adreselor de IP, pentru low prestabilit 90,
pentru high 95), și setul cache_rep lacem ent_policy și memory_repla cement _policy c e
stabilește modul în care obiectele vo r fi înlo cuite în cache când este nevo ie de spațiu.
Acest param etru poate fi LRU, GDSF (G reedy-Dual Size Frequency), LFUDA
(Least Frequently Used W ith Dyna mic Aging).
În următoarea sec țiune ne vom ocupa de instruc țiunile c e privesc c ontrolu l
accesu lui. Prima com andă din aces t set este acl, și se folosește pentru a defini o list ă de
acces.
Sintaxa este acl … | „fisier”.
Sunt m ulți param etri pentru , unul este src (m od prin care s e specifica adresa IP).
Sintaxa un ei astfel d e instrucțiuni este acl s rc IPaddress /netm ask. Aproxim ativ același
lucru se obține și cu dst ca param etru, cu diferen ța ca se face referire la ServerIPaddress.
Pentru controlul unui dom eniu specific se pot folosi ca param etri srcdom ain, dstdom ain
(când se sp ecifică explicit dom eniul) sau s rcdom_regex, dstdom _regex pentru a c ăuta
un dom eniu al cărui num e conține șirul de caractere existen t în com andă. Se poate c ăuta
și în URL, cu param etrii url_regex sau urlpath_regex, cu diferen ța că primul caut ă șirul
de caractere în întreg URL-ul pe când cel de-al doilea îl caut ă doar în sec țiunea ce nu
conține protocolul sau num ele de host. Aceste c ăutari sunt key-sens itive, lu cru ce
trebu ie luat în calcu l.
Accesul po ate fi controlat și prin adresa por tului se rverului destina ție, cu
param etrul port. Sintaxa este acl port <num ar_port>. De asemenea se pot lua în calcul și
protocolul de transfer utiliz at prin param etrul proto (urm at de tipul de protocol, de
exem plu HTTP, FTP), sau m etoda prin care se formuleaz ă cerința prin opțiunea m ethod
(urm ată de tipul m etodei, de exem plu GET, PO ST). Se poate configura astfel încât s ă
verifice bro wserul de la care vin cerin țele (prin op țiunea browser), de exem plu com anda
acl b rowser MOZILLA se va refe ri la ce rințele ce vin d e la b rowserele ce con țin
MOZILLA în antet.
Prin param etrul id ent se pot f orma liste ba zate pe identita tea utiliza torilor, prin
combinarea cu alte comenzi, d e exemplu pr in com anda acl friends ident dan adi gigi
nicu com binată cu http_ access allow friends și urmată de http_ acces s deny all. Ca și în
cazurile an terioare exis tă param etrul ident_ regex ce face o c ăutare (dup ă grupul de
carac tere specificat) în s etul de num e al utiliza torilor.
Setul de param etri proxy_auth și proxy_auth_regex asigur ă autentif icare a
utilizatorilor via p rocese externe. Ace ști parametri neces ită un program extern de
autentif icare să verifice com binațiile <num e_utilizator > + <p arola >.
120

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
Com anda http_access garanteaz ă sau neagă accesul HTTP bazându-se pe listele
de acces definite. Sin taxa este h ttp_access , u nde param etrul poate fi allow (ap robă
accesu l) sau deny (neag ă accesul), de exem plu http_acce ss allow m anager localho st.
Este foarte important ca ultim a linie a unui set de com enzi http_access s ă fie deny all,
deoarece dup ă stabilirea regulilor de acces, dac ă acesta nu e negat atunci este garantat,
deci specifica ți cât m ai multe reguli de acces (fu ncție de ce ave ți nevo ie) iar la sf ârșit nu
uitați linia http_access deny all. F ără această ultim a lin ie acce sul va fi stabilit de
varian ta im plicită, care este allow. Dup ă același sistem lucrează și com anda icp_access,
cu aceea și param etri, allow sau deny, co manda referindu-se la ICP.
Com anda miss_access for țează cache-urile vecine vizate s ă devină cache de acela și
nivel și nu părinți, folosind ace iași parametri. De exem plu m iss_acces s allow clien tlocal
înseam nă că doar grupul specificat are voie s ă prim ească mesaje M ISS, ceila lți clie nți
pot prim i doar HIT-ur i. Valoarea implic ită este m iss_access allow all.
Se m ai poate seta cache_peer_acces s, com andă similară cu cache_peer_ domain,
dar ce ofer ă mai multă flexibilitate folosind elem entele acl. Mai exist ă
ident_ looku p_access, to t cu opțiunile de allow sau deny, com andă ce conține o lis ta de
elem ente acl și prin care pute ți, de exem plu, să recu rgeți la se cvențe de iden tificare
pentru cerin țele ce apar țin stațiilor folosite de mai m ulți utilizatori Unix, dar nu pentru
celelalte s tații. Im plicit n u se recu rge la secv ențe de identificare pentru nici o cerin ță. De
asem enea se poate garan ta sau restric ționa accesu l ținând cont de dat ă și oră.

Setarea par ametr ilor a dministrativi
Prim ul dintre ace ști param etri este cache_m gr <persoana>, el poate fi configurat
în scopul set ării persoan ei care va p rimi mesaj în cazul „c ăderii” cach e-ului. Valo area
implicită a câm pului <persoana> este webm aster.
Prin com enzile cache_ effective_us er <u tilizator> și cache_effective_group
<grup> se pot seta numele utilizatorului sa u gru pului în caz ul în care cache-u l rulează
ca roo t. Valoarea im plicită a parametrului din expresie este nobody. În cazu l în care
cache-u l nu rulează ca root se p astrează num ele curen t de utilizator. D e asem enea de
notat că, dacă nu se ruleaz ă ca root, nu pute ți seta pentru http_port o valoare m ai mică
decât 1024.
Dacă vreți să precizați un num e special de host în mesajele de eroare, defini ți
visible_hostnam e . Altfel valoarea implicit ă este cea return ată de getho stnam e (). Acest
lucru este important în cazul în care ave ți mai multe c ache-uri și prim iți erori în leg ătură
cu IP-forwarding. Dac ă doriți să aveți mai multe stații cu acela și num e vizibil de host,
trebu ie să setați pen tru fiecare un nu me unic diferit prin uniq ue_hostnam e , pen tru a se
putea detecta buclele la forwarding.
Unele servere cache pot func ționa ca servere Web și viceversa. Acestea accept ă
cerințele în am bele for mate, în form atul W eb standard, unde se dau doar calea și fișierul
dorit, și în form atul proxy specific, unde es te necesar întregul URL. Proiectan ții Squid-
ului au decis s ă nu îl lase s ă funcționeze în acest fel, pentru a redu ce numărul de
problem e ce pot ap ărea și a scădea com plexitatea codului. Totu și, dacă se adaug ă un
layer de transla ție în S quid, se pot accepta și înțelege cerințele de tip Web, deoarece
formatul es te în esen ță același. Layer-ul adi țional resc rie cerințele W eb, prin s chimbarea
serverului și portu lui destin ație. Aceast ă cerință resc risă este apoi tratat ă ca una
norm ală, serverul destina ție e conta ctat iar date le sunt scr ise în cache. Acest lucru d ă
Squid-ului o alura de W eb serv er. L ucrul este necesar pentru caching transparent, Squid
poate fi configurat s ă interceptez e cerințele W eb cu scopul de a aduce datele cerute în
121

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
cache, lucru ce nu se poate face f ără „traducerea” din form at We b în for mat cache.
Com anda httpd_accel_h ost <IPAdress> |virtual s etează num ele de host pentru serverul
„accelerat”, în cazul în care da ți adresa de IP a acestu ia, iar dac ă doriți să realizați o
procedura de caching transparen t al traficulu i, trebuie s ă folosiți opțiunea „vir tual” în
locul ad resei IP. Foarte important, în momentul în care recurge ți la httpd _accel_ho st, se
dezactiveaz ă proxy-cach ing-ul și ICP-ul, dar dac ă vreți în c ontinua re să beneficia ți de
aceste op țiuni, seta ți httpd_accel_with_ proxy n ormal on. Setarea portu lui se face cu
httpd_accel_port <portnum ber>. Cerin țele „accelerate” pot fi transm ise doar c ătre un
port, nu exist ă o tabelă ce asociaz ă host-urile accelerate cu un port destina ție, deci acesta
trebu ie specificat. Nu ex istă valo are predefinit ă pentru num ărul po rtului, aces ta treb uie
să corespund ă cu cel din squid.conf în cazul în care prelua ți informațiile de pe s tația
locală, iar dacă vreți să le transm iteți către un set de servere din background în cele m ai
multe c azuri folosiți portul 80, portul im plicit pentru W eb. Pent ru suportul de port
virtu al setați numărul portului pe 0. Dac ă aveți un singur server în background spre care
doriți să transmiteți informația, setați httpd_accel_single_host pe on, dac ă aveți mai
multe astfel de servere, lăsați pe default (off) și folosiți o unealt ă de redirec ționare
pentru a m apa cerințele către serverele de rigoare.
O cerința HTTP include un antet de host, car e este de fapt num ele de host ce
apare în URL. Squid poate fi un accelerator pentru servere HTTP diferite folosindu-se
de aces t antet, dar Squid nu verific ă valoa rea antetului de host și astfel se desch ide o
importantă gaură în securitate. Este recomandat s ă nu folosi ți httpd_
accel_u ses_host_header decât dac ă sunteți foarte în tem ă cu ceea ce face ți. Din păcate
sunteți obligați să activați aceas tă opțiune dacă doriți să rulați Squid ca proxy
transparen t, altfel s erverele virtuale ce au nevoie de antetu l de host nu vo r fi cache-u ite
eficient.
Ar m ai fi multe de spus, există multe alte op țiuni de configurare, pentru suportul
de programe externe, pentru m odul în care obiectele sunt p ăstrate sau elim inate din
cache, s e pot stabili timpii de a șteptare pen tru efectuarea an umitor ope rațiuni (de genul
conectare, identificare, citire a datelor etc.), și de asem enea o sec țiune f oarte im portantă
se ocupă de configurarea fi șierelor în care sun t tipărite activ itățile de rutin ă, erorile ce
apar în re țea (așa num itele fișiere log sau sim plu log-uri). Inform ațiile d in aces te fișiere
reprezintă cea m ai importan tă sursă pentru un adm inistrator, cu ajutorul datelor
existente acolo se pot rem edia problem ele apărute și se poate face re țeaua „sa m eargă”
în param etrii doriți.
Chestiunea cea m ai importan tă în alegerea și configurarea unui proxy este m odul
în care do riți ca aces ta să se integ reze în rețeaua dum neavoastr ă. Înain te de a alege și
insta la un f irewall și un proxy trebuie s ă stabiliți și să creați o balanță între neces itățile
de securitate și perform anțele dorite ale re țelei, precum și gradul de instruire al
utiliza torilor . În ultim ii ani num ărul de atacuri pe Intern et a crescu t îngrijo rător, dar
trebu ie luată în ca lcul și natura „liber pentru toata lum ea” a In ternetulu i, care a ajuns ce
este azi tocm ai din aceast ă cauză, deci „fragm entarea” lui cu o pleiad ă de algoritmi de
autentif icare, parole și chei, f irewall-u ri și alte elem ente de aces t gen îi lim itează
oarecum orizontul și nu este întotd eauna cea m ai potriv ită soluție.
5.4 Desf ășurarea lucr ării
Serverul Squid este derivat din proiectul Harvest început de ARPA, fiind
dezvoltat în continuare de National L aboratory for Applied Network Research. Suport ă
protocoalele http, https, ftp și gopher.
122

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
Squid ne poate ajuta s ă limităm utilizarea bandwidth-ul ui disponibil, pentru a
reduce cheltuielile sau a nu supraînc ărca rețeaua.
Acest lucru e posibil datorita faptului c ă:
• păstrarea p aginilo r web, imaginilor și altor tipu ri de f ișiere pe hard-d isk. În caz
că cinev a se adreseaz ă la una și aceeași pagină – ea nu va m ai fi accesat ă de pe
internet, c i luată din cash. Cu ajutorul acestei func ții poate fi econom isită în
mediu 30% din band ă (depinde și de site -urile vizitate, și de alți parametri).
• în afară de aceasta putem folosi func ția delay p ool pentru a lim ita accesul c ătre
unele site-u ri (de ex emplu care co nțin în url cuvântul porno) sau interzice
download-ul unor anum ite tipuri de fi șiere.

Download ăm sursele de pe site-ul of icial – www. squid-cache.org
1.Instalare –
tar -xjvf sq uid-2.5.STABLE3.tar.bz 2
cd squid-2.5.STABLE3
CC="gcc" \
CFLAGS= "-O3 -march=i686 -fun roll-loops -fomit-frame-pointer" \
./configure \
–prefix=/us r \
–exec-prefix=/usr \
–bindir=/usr/sbin \
–libexecdir =/usr/lib/sq uid \
–sysconfdir=/etc/squid \
–enable-delay-pools \
–enable-ca che-diges ts \
–enable-poll \
–disable-id ent-loo kups \
–enable -truncate \
–enable -xmalloc -statistics \
–enable -linux-netfilte r \
–enable-sta cktraces && ma ke all && ma ke install

2. Pentru a cre ște perform anța squid, e nevoie de o parti ție, sau dac ă nu e posibil
– cream un director cach e.
mkdir /cache
Cel m ai potrivit ar fi alo carea squid-ului un hard disk SCSI.
Adăugăm userul squid și grupul squid, f ără shell (pentru a nu rula proxy serverul
ca root)
groupadd squid
useradd -d /cache -s /sbi n/nologin -g squid squid
chown -R squid:squid /cache

Cream directorul /var/log/squi d , cu proprietarul – squid
mkdir /var/log/squid
chown squid:squid /var/log/squid

3. Configurare:
În continuare voi prezenta structura m inima a fișierului /etc/squid/squid.conf
123

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
#####################################################
# Portul și adresa ip pe care va a ștepta conexiuni squid
http_port 192.168.1.1:8080
# Directo rul în care se va afl ă cache-u l și dim ensiunea lui în M b
#(în cazul de m ai jos – 6000 m b)
cache_dir ufs /cach e 600 0 16 256
# Userul și grupul sub care va rula serverul squid
cache_effective_user squ id
cache_effective_group squid
#Portul pe care squid va trim ite și primi cereri către cache a alto r proxy servere
vecine
#Dacă nu mai avem alte proxy, specific ăm 0
icp_port 0
# Cream acl-urile (acess contro l list):
acl all src 0.0.0.0/0.0.0.0
acl localhost src 127.0.0.1/8
acl lan src 192.168.1.0/24
#clienții proxy serverului nostru
#Paginile ce se creeaz ă dinamic vor fi accesate d irect d e la su rsă
hierarchy_stoplist cgi-bin php asp ?
# Obiectele create dinam ic nu vor fi salvate în cache
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
# Perm item accesu l de la m așina loca lă (dacă este cazul)
http_ac cess allow loc alhost
# Perm item calculatoarelor din re țeaua locala să utilizeze proxy serverul
http_ac cess allow lan
# Inter zicem celor lalți să acceseze sq uid-ul
http_access deny all
# Specific ăm unde squid va p ăstra logurile
cache_acces s_log /var/lo g/squid/access.log
cache_log /v ar/log/squ id/cache.log
cache_s tore_log /var/lo g/squid/sto re.log
# Pidul procesului
pid_filenam e /var/run/squid.pid
#####################################################

Aceasta este configura ția minimă pentru ca squid s ă ruleze. Inițializăm cache-u l
prin com anda:
squid -f /etc/squid/squid.conf – z
Dacă prim iți un m esaj de tipul:
2003/08/11 20:30:28| aclParseIp Data: WARNING: Net mask m asks a way part of
the specified IP in ' 127.0.0.1/8'
nu va speria ți , nu este o eroare, ci o avertizare.
Prim a dată pornim squid-ul cu com anda:
squid -NDCd1
pentru a v edea eventu alele m esaje de eroare. Dac ă totul e ok – avem mesajul:
2003/08/11 20:30:29| Ready to serve requests.
124

Laborator Securitatea sistemelor inform atice Lucra rea nr.5

Squid este g ata pen tru a accepta con exiuni.
Adăugam în scripturile de ini țiere și oprire a s istemului ca squid s ă porneasc ă ,
respec tiv să oprească la startul și oprirea calculatorului. Și să nu uităm să închid em
portul 8080 pentru conexiuni dinaf ară cu ajutorul firewall-ului, și să-l lăsăm desc his
pentru clien ții din rețea.

125

Laborator Securitatea sistemelor inform atice Lucra rea nr.6

6 Open VPN
6.1 Obiective:
ƒ înțelegerea și familiariza rea cu noțiunea de re țea virtu ală privată;
ƒ familiarizar ea cu noțiunea de tunnel între dou ă sisteme pe Internet;
ƒ instalarea și configurarea OpenVPN

6.2 introducere în Open VPN
OpenVPN e ste o solu ție open-source pentru re țele v irtuale private, bazat ă pe
standardul SSL. Poate func ționa în regim de server ce accep tă conexiuni multiple sa u în
regim direct între doi clien ți. Im plem entat la nivelul 2 și 3 OSI, OpenVPN utilize ază
pentru au tentificare și criptare pro tocolul SSL/T LS (SSL = Secure Sockets Layer ), prin
intermediul biblio tecilor OpenSSL și acceptă diferite m etode de autentificare bazate pe
certificate, s mart-card, chei un ice și alte m etode. Leg ătura tip tune l ce încapsule ază
traficul IP între dou ă subrețele sau adaptoare Ethernet se realizeaz ă prin in termediul
unui singur port, fie folosind prot ocolul TCP/IP fie UDP. Aplica ția sup ortă tunele între
adrese IP dinam ice, trav ersarea NAT și Ethernet bridging.
Unul din marile avan taje ale aces tui program este ușurința configur ării atât la
nivel de client cât și la nivel de server, dep ășind din aces t pu nct de ved ere
implementările IPSec din Linux și Windows.
Un alt avantaj este port abilitatea, fiind asigur at suportul pentru urm ătoarele
platform e: Linux, W indows 2000/XP, OpenBSD, FreeBSD, NetBSD, Mac OS X și
Solaris. Im plem entările VPN folosind ca nivel de aute ntificare SSL/TLS au devenit din
ce în ce m ai populare recent, iar Open VPN este una din cele m ai bune solu ții din acest
domeniu.
Printr e de zavanta jele aceste i aplicații se num ără un overhead relativ m are
determ inat de f olosirea SSL, o implem entare m ai puțin ergonom ică sub sistem ul de
operare W indows și o oareca re ins tabilitate în con dițiile folosirii pe conexiuni nesigure,
cu tim pi de laten ță mari, anum ite problem e fiind observate în special pe conexiuni
wireles s la distanță mare.
Aplicația este de zvoltată în regim open-source, putând fi folosită sub licența
GPL1 sau sub licen ță com ercială în cazul în care se dore ște înco rporarea ei în alte
produse care nu sunt di stribuite tot sub licen ță GPL sau o licen ță com patibilă.
6.3 Aplica ție experimental ă
Studenții vor realiza re țeaua din figura 1, vor instala OpenVPN și vor configura
un tunel între un server VPN și un Client VPN urm ând pașii descriși în continuare.
Unul dintre sistem e va fi configurat cu rol de s erver, c elalalt cu ro l de clien t.
Prim ul lucru pe care treb uie sa il facem este sa descarcam OpenVPN- Windows Installer
de la adresa http://openvpn.net/releas e/openvpn-2.0.9-install.exe si sa il in stalam pe ce le
doua sisteme in directorul C:\Program Files\OpenVPN.

1 GPL – Ge neral Public Licenc e – Licență Publică Generală
126

Laborator Securitatea sistemelor inform atice Lucra rea nr.6

Fig.1: Virtual Private Netw ork ruleaz ă printr-un tunel, iar end-point-urile acestuia sunt adresele
IP reale ale Clientului PC2 și Serverului PC1

6.3.1 Pe sistem ul server
mergem în Start -> Run , scriem CMD și dăm enter. În fereastra care se deschide
tastăm:
cd C:\Program Files\OpenVPN\easy-rsa
copy vars.bat.sample vars.bat

Editam apoi vars.bat cu com anda edit vars.bat și modificăm param etrii după
nevoile noastre.
Să presupunem că avem în vars.bat următoarele:
@echo off
set HOME=%Program Files% \OpenVPN\easy-rs a
set KEY_CONFIG=ope nssl.cnf
set KEY_DIR=keys
set KEY_SIZE=1024
set KEY_C OUNT RY= RO
set KEY_PROVINCE= RO
set KEY_CITY=Bacau
set KEY_ORG=SorinPopa
set KEY_EMAIL=sorinpopa@ub.ro

Copiem fișierul openss l.cnf.sample în openssl.cnf cu com anda:
copy openssl.cnf.samp le openssl.cnf
Rulăm următoarele com enzi:
vars
clean -all
build- ca

Urmează generarea certificatulu i și a unei chei private pentru server:
build-key-s erver server

Generăm certificatele și cheia pen tru clien t:
build-key client
127

Laborator Securitatea sistemelor inform atice Lucra rea nr.6

Este im portant ca Common Na me pentru client s ă fie diferit de Comm on Na me
pentru server.
Generăm param etrii Dif fie Hellm an :
build-dh

În directo rul C:\Program Files\Open VPN\config facem un fișier server.o vpn în
care s criem:
mode server
port 1194
proto udp
dev tun
ca "C:\\Prog ram Files\\O penV PN\\easy-rsa\\key s\\ca.crt"
cert "C:\\Pro gram Files\\OpenVPN \\easy-r sa\\ke ys\\server.crt"
key "C:\\Program Files\\OpenVPN \\easy-rsa\\keys\\server.key"
dh "C:\\Prog ram Files\\O penV PN\\easy-rsa\\key s\\dh1024.pem "
tls-server
ifconfig 10.8.0.1 10.8.0.2
ifconfig-pool 10.8.0.3 10.8.0.5 # IP range clients
ifconfig-pool-persist ipp.txt
keepalive 10 120
comp-lzo
persist-key
persis t-tun
status openvpn-status.log
verb 3
mute 20

Putem să pornim OpenVPN cu aceas tă configura ție dacă dăm click dreapta din
explorer pe fi șierul server.ovpn și alegem opțiunea Start OpenVPN on this config file
sau îl putem porni ca și servic iu din Start -> Control Panel -> Administrativ Tools ->
Serices -> OpenVPN Service unde dăm start sau putem seta pe Auto matic la Sta rtup
Type pentru a fi pornit odat ă cu sistemul de operare.

6.3.2 Pe sistem ul client
trebu ie să mergem în directorul
C:\Program Files\OpenVPN\easy-rsa și să cream directoru l keys în c are
copiem de pe server fi șierele:
ca.crt
clien t.crt
client.key

În directorul C:\Progra m Files\Op enVPN\config facem un fișier clien t.ovpn în
care s criem:

clien t
dev tun
128

Laborator Securitatea sistemelor inform atice Lucra rea nr.6
proto udp
remote xxx.yyyy.zzzz.v vvv 1194 #se înlocu iește xxx.yyy.zzz.vvv cu ip server
resolv -retry inf inite
nobind
persist-key
persis t-tun c a "C:\\Progr am Files\ \OpenVPN\\easy-rsa \\key s\\ca.c rt"
cert "C:\\Pro gram Files\\OpenVPN \\easy-r sa\\ke ys\\client.crt"
key "C:\\Program Files\\OpenVPN \\easy-r sa\\ke ys\\client.key"
comp-lzo .
verb 3

Putem să pornim OpenVPN cu această configura ție dacă dăm click dreapta din
explorer pe fi șierul client.ovpn și alegem opțiunea Start OpenVPN on this con fig file
sau îl putem porni ca și servic iu din Start -> Control Panel -> Administrativ Tools ->
Serices -> OpenVPN Service unde dăm start sau putem seta pe Auto matic la Sta rtup
Type pentru a fi pornit o dat ă cu sistemul de operare
După ce am pornit atât s erveru l cât și clientu l ( fără a av ea un mesaj de eroare )
putem să verificăm funcționalita tea tunelulu i creat.
Astfel, pe server m ergem în Start – Run și tastam CMD. Î n fereastra deschis ă
introducem com anda:
ipconfig
Vom obține m ai multe inf ormații printre care vom regăsi și cele din im aginea de
mai jos:

Pe sistem ul configurat ca și clien t la com anda ipconfig obținem informații
printre care trebuie s ă se regăsească și următoarele:

Conexiunea într e cele do uă sistem e o putem verif ica cu u tilitarul ping. Atenție la
configurarea firewall-ului pentru a perm ite ICMP Echo Request și ICMP Echo Replay
atât p e sistemul server cât și client.
De pe sistemul configurat ca și server, care are ip-ul 10.8.0.1 vom da ping în
10.8.0.2 (client)

129

Laborator Securitatea sistemelor inform atice Lucra rea nr.6
De pe sistemul configurat ca și client, care are ip-ul 10.8.0.2 vom da ping î n
10.8.0.1 (server):

130

Bibliografie

1. Anderson R. – Security Engineering : A Guide to Building Dependable
Distributed System s, NY 2001;
2. Andress, M. – Surviving Security: How to In tegrate People, Process and
Technology , SAMS, Indianapolis, 2002, pp. 59-63.
3. Davis D. – " The Problems Catch Up With The Solution ", in Card Technology ,
April 2003;
4. Denning D.E. – Information Warfare and Security , Addison-W esley, Reading,
Massachusetts, 1999;
5. King, C.M., Dalton, C.E., Os managlu, T.E. – Security Arhitecture:
Design, De ployment& Operations ,Osborne/McGraw-Hill, New York, 2001, pp.
18-26
6. Krutz R.L, Vines R.D. – The CISSP Prep Guide – Mas tering the Ten Domains
of Computer Security , Wiley & Sons, Inc. New York, 2001;
7. Schwartan W. – Information Warfare , 2nd Edition , Thu nder' s Mouth Press,
New York, 1996;
8. Simmons G.J. – "The Prisoners' Problem and the Sublim inal Channel", in
Proceedings of Crypto ' 83, Plenum Press 1984;
9. Renesse R. – Optical D ocument Security , 2nd ed., Artech House, 1997;
10. Renesse R. – "Verifying versus Falsyf ying Banknotes", in Optical Security and
Counterfeit Deterrence Techniques II, (1998);
11. U.S. Departm ent of Ene rgy – " Identifica tion o f Classfied In formation ", Offi ce of
Clasification , Decem ber 1991;
12. Tuom as Aura, Pekka Nikander, Jussipekka Leiwo – DoS-resistant
Authentication with Client Puzzles. Proceeding s of the Cam bridge Security
Protocols W orkshop 2000, LNCS, Cam bridge, UK, April 2000, Springer-Verlag
13. G. B. Agnew, R. C. Mullin, S. A. Vanstone – Improved Digital Signature
Scheme based on Discrete Exponentiation, Electronic Letters, Vol. 26, 1990
14. K. Alagappan – SPXInstallation, Digital Equipm ent Corporation, February 1991
15. K. Alagappan, J. Tardo – SPX Guide – A Prototype Public Key Authentication
Service, Digital Equipment Corporation, February 1991
16. K. Alagappan – Telnet authentication: SPX (RFC 1412) , Digita l Eq uipm ent
Corporation, 1993
17. F. Bauspiess, H. J. Knobloch – How to Keep Authenticity Alive in A Computer
Network, Proceedings of EUROCRYPT' 89, Springer-Verlag, Berlin, 199 0
18. S. M. Bellovin, M. Merritt – EncryptedK ey Exchange: Password-Based
Protocols Secure Against Dictionary Attacks, Proceed ings of the IEEE
Symposiu m on Security and Privacy, IEEE Co mputer Society Press, Los
Alam itos, CA, 1992
19. S. M. Bello vin, M. Mer ritt – Augumented EncryptedKey Exchange, Proceedings
of the 1st ACM Conference on Communicati ons and Com puting Security,
Nove mber 1993
20. Steven M. Bellovin, Michael Merritt – Limitations of the Kerberos
Authentication System, AT&T Bell Labs
131

Securitatea siste melor informatice
21. Th. Beth – Effic ient Ze ro-Knowledge Identific ation Schem e for Smart Cards,
Proceedings of EUROCRYPT ' 88, Springer-Verlag, Berlin, 1 989
22. Th. Beth, H. J. Knobloch, M. Otten – Verifiable Secret Sharingfor Monotone
Access S tructures, Proceedings of the 1st ACM Conference on Communication
and Com puting Security, Nove mber 1993
23. Th. Beth, H. J. Knobloch, M. Otte n, G. J. Simmons, P. W ichmann -Towards
Acceptable Key Escrow System, Proceedings o f the 2nd ACM Confer ence on
Communication and Computi ng Security, November 1994
24. T. Beth, H. J. Knobloch, S. Stempel, P. W ichmann -Authentifika tionsdienst
SELANE – Modularisierung und Einsatz, Report 94/3, Univeristy of Ka rlsruhe,
EISS, 1994
25. Leitne r Achim , "Rețele WLAN sigure, cu un tu nel OpenVPN cripta t", Linux
Magazin, nr. 22, iunie 2005;
26. OpenVPN: http:// openvpn. sourceforge. Net
27. Biblioteca L ZO: http:// www. oberh umer. com/opensource/ lzo/
28. Proiect OpenSSL: http:// www. openssl. org/
29. Driver TUN/ TAP: http:// vtun. sourceforge. net/ tun/
30. Thom as T., Primii pa și în securitate a rețelelor, Corint, Bucure ști, 2005.
31. www.squid-cache.org
32. http://www.wingate.com /download.php
33. http://www.youngzsoft.net/ccproxy/
34. http://www.securekit.com /
35. www.digi marc.com
36. www.digi marc-id.com
37. www.aris-techni.fr/

132

Cuprins
1. NOȚIUNI PRIV IND SECUR ITATEA INFORMA ȚIILOR……………………………………………….. 5
1.1. INTRODUCER E………………………………………………………………………………………………………………. ..5
1.2. DEFINIRE A NOȚIUNII DE SECURITATEA INFOR MAȚIILOR………………………………………………………… 6
1.3. SECȚIUNILE STANDARD ULUI DE SEC URITATE ISO / IEC 17799. ……………………………………………… 9
1.3.1. Politica de securitate …………………………………………………………………………………….. ………….. 9
1.3.2. Or ganizarea securității………………………………………………………………………………………………. 9
1.3.3. Clasificarea și control ul activelor ……………………………………………………………………………… 10
1.3.4. Sec uritatea pers onalul ui…………………………………………………………………………………… ……… 10
1.3.5. Sec uritatea fizică……………………………………………………………………………………………………… 11
1.3.6. Ma nagement ul comunicațiilor și al operării……………………………………………………………….. 11
1.3.7. C ontrolul acces ului……………………………………………………………………………………….. ………… 13
1.3.8. Dezv oltarea și întreținerea siste mului………………………………………………………………………… 14
1.3.9. Plan ificarea continuității afacerii ………………………………………………………………………………. 15
1.3.10. C onformitatea ……………………………………………………………………………………………. …………. 15

2. CLAS IFICAREA INF ORMAȚIILOR…………………………………………………………………………….. 16
2.1. NOȚIUNI INTRO DUCTI VE PRIV IND CL ASIF ICAR EA MOD ERNĂ A INFORMAȚIILOR………………………. 16
2.2. CLASI FICAR EA INFOR MAȚIILOR……………………………………………………………………………………….. 17
2.2.1. Informațiile subiec tive……………………………………………………………………………………………… 17
2.2.2. Informații obiectiv e………………………………………………………………………………………………….. 17
2.2.3. Deter minarea necesității cla sificării in formațiilor……………………………………………………….. 18
2.3. DECLASIFCAR EA ȘI DE GRADAR EA INFOR MAȚIILOR CL ASIF ICATE………………………………………….. 19
2.4. PRINCIPI ILE PROTEJĂRII INF ORMAȚIILOR SP ECIALE…………………………………………………………….. 20
2.5. PROTEJARE A MEDIILOR DE STOCARE A INFOR MAȚIILOR………………………………………………………. 21
2.5.1. Marc area materi alelor cu regim speci al…………………………………………………………………….. 21
2.5.2. Păstrarea și distrug erea med iilor de păstrare a inf ormațiilor ……………………………………….. 22
2.6. CLASI FICAR EA INFOR MAȚIILOR ORGAN IZAȚIILOR………………………………………………………………. 22
2.6.1. Criterii de clasifica re a informațiilor la nivelul organizațiilor……………………………………….. 23
2.6.2. Proceduri d e clasificare a informațiilor ……………………………………………………………………… 23
2.6.3. Rol uri și respon sabilități în procesul de cla sificare a informațiilor………………………………… 24

3. CONTROLUL ACCESUL UI ÎN SISTE MELE INFO RMATI CE……………………………………… 25
3.1. TIPURI DE CONTROL AL ACCES ULUI ÎN SISTEM…………………………………………………………………… 25
3.1.1. Modele de control al accesului ……………………………………………………………………………… …..25
3.1.2. For me combinate de control …………………………………………………………………………………. …..26
3.2. IDENTI FICARE A ȘI AU TEN TIFICARE …………………………………………………………………………………… 27
3.2.1. Pri ncipiile de ba ză ale contr olului acc esului ……………………………………………………………….. 28

4. CRIPTOG RAFIA ……………………………………………………………………………………………………. …….. 32
4.1. DEFINIȚII ȘI NOȚIUNI DE BAZĂ…………………………………………………………………………………………. 32
4.1.1. Tehnici utilizat e în cri ptografie…………………………………………………………………………… …….. 33
4.1.1 .1. Substituția…………………………………………………………………………………………………………….. …….. 33
4.1.2. Perm utarea sau transpoziția……………………………………………………………………………………… 35
4.1.3. Cifrul lui Vernam …………………………………………………………………………………………. …………. 35
4.1.4. Ascu nderea informațiilor………………………………………………………………………………………….. 36
4.1.4 .1. Steganogr afia…………………………………………………………………………………………………… ………….. 36
4.1.4 .2. Filigrana rea……………………………………………………………………………………………………. ……………. 37
4.1.4 .3. Securitatea în do meniul tip ăriturilor………………………………………………………………………………… 37
4.2. SISTE ME DE CRIPTAR E PRI N CHEI SIMETRIC E (PRIVAT E)………………………………………………………. 39
4.3. SISTE ME DE CRIPTAR E PRI N CHEI A SIMETR ICE (PUBLICE )…………………………………………………….. 40
133

Securitatea siste melor informatice
4.3.1. Se mnătura digitală…………………………………………………………………………………………………… 41
4.3.2. Sisteme de certific are a cheilo r publice …………………………………………………………………….. ..42
4.3.3. Infrastr uctura cheilor publice ( PKI)………………………………………………………………………… …43

5. MODELE ȘI PRO GRAME DE SE CURITATE ……………………………………………………………….. 44
5.1. MODE LE DE SE CURITA TE MU LTINIVEL……………………………………………………………………………… 44
5.1.1. Modelul Bell-LaP adula……………………………………………………………………………………… …….. 44
5.1.2. Modelul matricei de control al accesului …………………………………………………………………….. 45
5.1.3. Modelul Biba ……………………………………………………………………………………………… …………… 45
5.2. MODE LE AL E SECURITĂȚII MU LTILAT ERALE……………………………………………………………………… 47
5.3. PROGRAMU L DE SEC URITATE………………………………………………………………………………………….. 49
5.3.1. Politicile de securitate …………………………………………………………………………………… ………… 49
5.3.2. Standardele, normele și procedurile de securitate ………………………………………………………… 51
5.3.3. Aspecte practice a le politicii de securita te informațională…………………………………………….. 52
5.3.4. Exemple de po litici de s ecuritate …………………………………………………………………………… …..53

6 SECU RITATEA REȚELE LOR DE CA LCUL ATOA RE………………………………………………….. 59
6.1 MECAN ISME UTILIZATE ÎN SECURIZAR EA REȚELELOR …………………………………………………………. 59
6.1.1 Functionare a DHCP ……………………………………………………………………………………………….. .59
6.1.2 Noțiuni privind securi zarea rețelei…………………………………………………………………………….. 60
6.1.3 Firewa lls………………………………………………………………………………………………………. ……….. 61
6.1.4 Proxy -uri………………………………………………………………………………………………………. ……….. 63
6.1.5 Filtrele de pachete……………………………………………………………………………………………… ……65
6.2 REȚELE VPN ……………………………………………………………………………………………………………. …..65
6.2.1 Point-t o-Point Tunnelin g Prot ocol (PPTP)…………………………………………………………………. 66
6.2.2 Layer 2 Tunneling Protocol ( L2TP) …………………………………………………………………………… 67
6.2.3 IPsec ………………………………………………………………………………………………………….. …………. 68

7. TEHNIC I, SERVI CII ȘI SO LUȚII DE SE CURITATE P ENTR U INTRANET-URI ȘI
PORT ALU RI………………………………………………………………………………………………………. …………………. 69
7.1. INTRODUCER E………………………………………………………………………………………………………………. 69
7.2. CRIPTOGRAFIA ……………………………………………………………………………………………………………… 69
7.2.1. Criptografia cu cheie secretă…………………………………………………………………………………….. 70
7.2.2. Criptografia cu cheie publică……………………………………………………………………………………. 70
7.2.3. Ma nagement ul cheilor și distribuția acestora ……………………………………………………………… 70
7.2.4. Fu ncțiile Ha sh………………………………………………………………………………………………………. …71
7.2.5. Utiliza rea semnăturilor digitale. Risc uri de sec uritate ………………………………………………….. 72
7.2.6. Certificate digitale . Riscuri de securitate ………………………………………………………………….. ..73
7.2.7. Aute ntifica rea Ker beros V5 …………………………………………………………………………………. ……75
7.2.7 .1. Cum func ționează Kerberos V5………………………………………………………………………………………. 76
7.2.7 .2. Riscuri de securitate în Kerberos …………………………………………………………………………………. ….76
7.2.8. Aute ntificarea SSL/TLS …………………………………………………………………………………….. ……… 77
7.2.8 .1. Legătura SSL-HTTP …………………………………………………………………………………………………… …78
7.2.8 .2. Cum func ționează SSL………………………………………………………………………………………………….. 78
7.2.8 .3. Performan ța SSL………………………………………………………………………………………………………….. .79
7.2.8 .4. Riscuri de securitate în SSL……………………………………………………………………………………… ……. 80
7.2.9. Aute ntificare a NTLM ……………………………………………………………………………………….. ……… 80
7.2.10. Comparație Kerber os – NTLM …………………………………………………………………………………. 80
7.2.11. SSH …………………………………………………………………………………………………….. ………………. 81
7.2.11 .1. Autentifi carea prin SSH………………………………………………………………………………………….. …….. 82
7.2.11 .2. SSH1…………………………………………………………………………………………………………… ……………… 83
7.2.11 .3. SSH 2………………………………………………………………………………………………………….. ……………… 83
7.2.11 .4. Algoritm ii de criptare utilizați…………………………………………………………………………………………. 83
7.2.11 .5. Ce poa te prote ja SSH. Riscuri de securit ate ale SSH………………………………………………………….. 84
7.2.12. P GP. Riscuri de securitate………………………………………………………………………………… …….84
134

Cuprins
7.2.13. S/MIM E………………………………………………………………………………………………….. ……………. 86
7.2.13 .1. Funcționar ea S/MIME………………………………………………………………………………………………….. .87
7.2.13 .2. Riscuri de securitate ale S/MIME………………………………………………………………………………….. ..88
7.2.14. Utilizarea firewa ll-urilor î n intraneturi…………………………………………………………………… ..88

8. STRATEG II DE ACHIZIȚIE PENTR U APĂRARE………………………………………………………… 90
8.1. INTRODUCER E………………………………………………………………………………………………………………. 90
8.2. STRATE GII DE SECURI TAT E ALE RĂZBOI ULU I INFOR MAȚIONA L…………………………………………….. 91

Aplicații practice

L1 CRIPTAREA CA METOD Ă DE SEC URITA TE A INFORM AȚIILOR…………………………… 95
1.1 OBIECTIV E:……………………………………………………………………………………………………………… …..95
1.2 CIFRUL LUI CEZAR………………………………………………………………………………………………………… 95
1.3 CIFRUL LUI VERNAM ……………………………………………………………………………………………………… 97
1.4 METO DĂ PROPRIE DE CRIPTAR E………………………………………………………………………………………. 97
1.5 DESFĂȘURARE A LUCRĂRII……………………………………………………………………………………………… 98

L2 STEGANOGRAFIA CA METOD Ă DE SECURITATE A INFORMAȚIILOR …………………. 99
2.1 OBIECTIV E:……………………………………………………………………………………………………………… …..99
2.2 INTRODUCER E………………………………………………………………………………………………………………. 99
2.3 ASCUNDEREA UNUI FIȘIER…………………………………………………………………………………………….. 100
2.4 DESCOPERIREA UNUI FI ȘIER ASCUNS ………………………………………………………………………………. 101

L3 FIREW ALL-URI ……………………………………………………………………………………………………. …….102
3.1 OBIECTIV E:……………………………………………………………………………………………………………… …102
3.2 GENERAL ITĂȚI/DEFINIȚII FIREWALL………………………………………………………………………………. 102
3.2.1 Funcționare a firewall-urilor……………………………………………………………………………………. 102
3.2.2 Politica Fire wall-ului…………………………………………………………………………………………… ..103
3.2.3 Clasificări…………………………………………………………………………………………………………….. 103
3.2.4 Ce "poate" și ce "nu poate" să facă un firew all?………………………………………………………… 104
3.3 INFORMA ȚII DESPRE F IREWAL L SUN WINDOWS XP…………………………………………………………… 104
3.3.1 Cum încep să utilizez un firewall? ……………………………………………………………………………. 104
3.3.2 Cum aflu ce ve rsiune de Windows utiliz ez?……………………………………………………………….. 104
3.3.3 Verifica rea stării Windows Fi rewall ………………………………………………………………………… 105
3.3.4 Adăugarea une i excepții în Wi ndows Firewal l…………………………………………………………… 105
3.3.5 Probleme de compatibilitate cu ISP, hardw are sau software ……………………………………….. 106
3.4 DESFĂȘURARE A LUCRĂRII……………………………………………………………………………………………. 106
3.1 PĂCĂLIRE A FIREWALL/IDS URILOR ȘI ASCUNDERE A IDENTITĂȚII……………………………………….. 107

L4 PRO XY SERVER……………………………………………………………………………………………………. ……111
4.1 OBIECTIV E:……………………………………………………………………………………………………………… …111
4.2 GENERAL ITĂȚI/DEFINIȚII SERVER PROXY ………………………………………………………………………. 111
4.3 SERVER PROXY PENTRU WINDOWS……………………………………………………………………………… 111
4.4 DESFĂȘURARE A LUCRĂRII……………………………………………………………………………………………. 113
4.4.1 Instalare și configurare serve r proxy WinG ate………………………………………………………….. 113
4.4.2 Instalare și configurare Client proxy WinG ate…………………………………………………………… 115
4.4.3 Modurile de lucru ale Winsoc k Redirection App lication ……………………………………………… 117

L5 PRO XY SERVER SQUID PE SISTE M DE OPE RARE LINU X……………………………………… 118
135

Securitatea siste melor informatice
5.1 OBIECTIV E:……………………………………………………………………………………………………………… …118
5.2 GENERAL ITĂȚI/DEFINIȚII SERVER PROXY ………………………………………………………………………. 118
5.3 CONFI GURARE A SQUID PE NTR U LINUX…………………………………………………………………………… 118
5.4 DESFĂȘURARE A LUCRĂRII……………………………………………………………………………………………. 122

L6 OPEN VP N……………………………………………………………………………………………………….. …………. 126
6.1 OBIECTIV E:……………………………………………………………………………………………………………… …126
6.2 INTRO DUCER E ÎN OPENVPN ………………………………………………………………………………………….. 126
6.3 APLICAȚIE EXP ERIM ENTALĂ…………………………………………………………………………………………. 126
6.3.1 Pe sistem ul server………………………………………………………………………………………………. ….127
6.3.2 Pe sistem ul client ………………………………………………………………………………………………. …..128

136

1. Noțiuni privind securit atea informa țiilor
1.1. Introduc ere
Societatea îmbr ățișează din ce în ce m ai mult tehnologia inf ormației. Inf ormația
care p ână nu de m ult avea la baz ă hârtia, îm bracă acum forma electronic ă. Inform ația pe
suport de hârtie m ai este încă rezerv ată docum entelo r oficiale, ac olo unde este necesar ă
o semnătură sau o stam pilă. Adoptarea sem năturii ele ctronice deschide îns ă perspectiva
digitizării co mplete a doc umentelor, c el puțin din punct de vedere func țional.
Acest nou m od de lucru, în care calc ulatorul a devenit un instrum ent
indispensabil și un m ijloc de com unicare p rin tehnologii precum poșta electronic ă sau
Intern etul, atrag e după sine riscuri specifi ce. O gestiune corespunz ătoare a
docum entelor în form at electron ic face necesar ă implementarea unor m ăsuri specifice.
Măsurile ar trebu i să asigure protec ția inf ormațiilor îm potriv a pierde rii, distrug erii sau
divulgării n eautor izate. Cel m ai sensibil a spect es te acela de a asigura se curitatea
informației gestion ată de sistem ele infor matice în noul context tehnologic.
Securitate a inf ormației este un con cept m ai larg car e se r eferă la asigurarea
integ rității, confiden țialității și disponibilit ății inf ormației. Dinam ica tehno logiei
informației induce no i riscu ri pentru care org anizațiile tre buie să implem enteze n oi
măsuri de control. De exem plu, popularizarea unit ăților de inscr ipționat CD-uri sau a
memoriilor portab ile de capacitate m are, induce riscu ri de copiere neautorizat ă sau furt
de date.
Lucrul în re țea și con ectarea la In ternet indu c și ele r iscuri suplim entare, de
acces neauto rizat la d ate sau chiar frauda.
Dezvoltarea tehnologic ă a fost acom paniată și de solu ții de se curitate,
producătorii de echipamente și aplicații incluzând m etode tehnice de protec ție din ce în
ce m ai perfor mante. Totu și, în timp ce în dom eniul tehnologiilor inform aționale
schim barea este exponen țială, com ponenta um ană rămâne neschim bată. Asigurarea
securității inf ormațiilor nu se poa te realiza exclusiv prin măsuri teh nice, f iind în
principal o problem ă umană.
Major itatea inciden telor de secur itate sunt generate de o gestiune și organizare
necorespunz ătoare, și mai puțin din cauza unei deficien țe a mecanism elor de securitate.
Este im portant ca organiza țiile să conștientizeze riscurile as ociate cu utiliza rea
tehnologiei și ges tiona rea inf ormațiilor și să abordeze po zitiv acest subiect printr-o
conștientizare în rândul angaja ților a im portanței securit ății infor mațiilor, înțelegerea
tipolog iei amenințărilor, riscur ilor și vulnerabilit ăților spe cifice m ediilor informatizate
și aplicarea practicilor d e contro l.
Organiza ția Inte rnaționala pentru Standardizare (ISO ) împreuna cu Comisia
Internațională Electrotehnic ă (IEC ) alcătuiesc un forum specializat pen tru
standardizare. Organismele na ționale care sunt m embre al e ISO și IEC particip ă la
dezvoltarea standardelor interna ționale pr in inte rmediul com itetelor tehnice. Statele
Unite ale A mericii, prin Institutu l Național de Standardizare, ocup ă poziția de Secretar,
24 de țări au statut de Participan ți (Brazilia, Fr anța, Regatul Unit al Marii Brita nii,
Coreea, Cehia, Germ ania, Danemarca, Be lgia, Portugalia, Japonia, Olanda, Irlan da,
Norvegia, A frica de Sud , Austra lia, Canada, Finlanda, Sued ia, Slovenia, Elve ția, Noua
Zeelandă și Italia) și alte 40 de țări au statut de O bservatori.
5

Securitatea siste melor informatice
Prin activitatea sus ținuta de Ministerul Com unicațiilor și Tehnologiei
Inform ației (MCTI) de adoptare la nivel na țional a standardelor europene și
internaționale recunoscute, standardul ISO/IEC 17799 – “Tehnologia Inform ației – Cod
de bună practică pentru m anagementul securit ății inf ormației” a fost adoptat și în
Rom ânia de către Asoc iația de S tandardizare din Rom ânia (ASRO), din toam na anului
2004. Standardul este recunoscut în rezolu țiile Consiliulu i Europei, implem entarea
acestu ia la n ivelul organ izațiilor fiind opțională.
1.2. Definirea noțiunii de securitatea Informa țiilor
Ca și acțiunile prin care o organiza ție își apără angajații și bunurile, securitatea
informațiilor este f olosită în prim ul rând pentru a oferi asigur ări că drept urile care
derivă din proprie tatea intelectuală sunt protejate în m od corespunz ător.
Obiectivul principal al unui program pentru protec ția informa țiilor îl
reprez intă asigurarea încrederii partenerilor de afaceri, avanta jul competitiv,
conformitatea cu cerin țele legale și maximiz area investițiilor.
Indiferent de form a pe care o îmbrac ă, mijloacele p rin care es te m emorată,
transm isă sau distribuit ă, informația trebuie protejat ă.
ISO/IEC 17799 trateaz ă secur itatea informațiilor prin pris ma a trei e lemente
princ ipale:
• Confidențialita tea – inf ormațiile sunt acces ibile d oar perso anelor au torizate;
• Integritatea – asigurarea acurate ței și com pletitu dinii m etodelor prin ca re se
realizează prelucrarea inform ațiilor;
• Disponibilitatea – ut ilizatorii autoriza ți au acc es la inf ormații și la activele
asociate în mom ente oportune.

Pentru a putea realiza u n program de securi tate ef icient este nevoie d e politici,
proceduri, practici, standard e, descrieri ale sarcinilo r și responsabilit ăților de serviciu,
precum și de o arhitectur ă generală a securității.
Aceste controale trebu ie im plem entate pe ntru a se atinge obiectivele specifice
ale securit ății și pe cele g enerale ale o rganizației.

Dependen ța din ce în ce m ai mare de sis temele inform aționale conduce la
creșterea tipologiei vulnerabilit ăților cărora organizațiile trebuie să le f acă față. Mai
mult, problem a protecție trebu ie să aibă în veder e de m ulte ori interconec tarea rețelelor
priva te cu serviciile pu blice. Dacă la acest asp ect m ai adăugam și problem a partajării
informațiilor se contu rează un tablou destul de com plicat în care im plem entarea unor
controale eficiente devine o sarcin ă dificilă pentr u specia listul IT&C.
Multe din sistem ele existente pe pia ță au fost proiectate dup ă metodologia
structurată dar nu au avut ca principal obiectiv și asigurarea unui anum it grad de
securita te pentru că la mom entul respectiv tehnol ogia nu era atât de dezvoltat ă și nici
atât de accesibil ă neinițiaților. Odat ă însă cu proliferarea Internetului ca și mijloc
important al com unicării m oderne nevoia unor m ecanis me de securitate proactiv ă a
devenit o certitudine. În practic ă remarcăm că multe instituții apeleaz ă la soluții tehnice
extern e care să le rezo lve problem ele de securitate f ără a căuta să-și iden tifice nevoile și
cerințele specifice.
Identificarea controalelo r intern e care să asigure un grad corespunz ător de
securita te ac tivelor inf ormaționale ale unei institu ții presupune o planificare riguroas ă și
identificarea exact ă a ob iectivelo r respectivei in stituții. Pentru a fi îns ă eficiente aces te
6

Cap 1 – Noțiuni p rivind secu ritatea in form ațiilor
controale trebuie s ă aibă în vedere pe to ți angajații și nu doar pe cei din com partim entul
IT sau care au leg ătură directă cu acest dom eniu.
Securitatea infor mațiilor nu este do ar o problem ă tehnică. Ea este în primul rând
o problem ă managerială.
Standardul de securitate ISO/IEC 17799 r ăspunde nevoilor organiza țiilor de
orice tip, publice sau private, printr-o serie de practici de gestiun e a securit ății
informațiilor.
Standardu l poate f i folosit în f uncție de gradul de expunere a fiec ărei organiza ții
în parte, pentru a con știentiza la nivelu l con ducerii a spectele legate de se curitatea
informației, sau pentru a crea o cultur ă organiza țională în ceea ce prive ște securitatea
informațiilor, sau pentru a ob ține certificarea sis temului de securitate.
Gradul de expunere a sistem elor infor maționale variaz ă cu industria în care
activ ează fiecare o rganizație. Cu cât acest ris c este m ai mare, atenția care treb uie
acordată securității datelor ar trebui s ă fie mai mare.
Instituțiile financiare, industria ap ărării, ae rospațială, industria tehnologiei
informației, industria electronic ă sunt sectoarele cu cel m ai mare grad de ris c în ceea ce
privește securitatea informațiilor. Tot în ace astă categ orie de ris c ridicat intr ă și
instituțiile guvernam entale, m otiv pentru care adoptarea unei culturi organiza ționale pe
baza standardului ISO/IEC 17799 are un rol fundam ental.

Stabilir ea cerințelor
Este im portant ca fiecare organiza ție să poată să-și identif ice propriile ce rințe de
securitate. P entru aceas ta ea trebuie sa fac ă apel la trei su rse principale:
• analiza riscu rilor;
• legislația ex istentă;
• standard ele și procedu rile inte rne.

Folosind o m etodologie corespunz ătoare pentru a analiza ris curile organiza ția își
poate iden tifica prop riile cerințe legate de securitate. Un as tfel de proces presupune în
general patru etape principale:
• identificare activ elor care trebu ie pro tejate;
• identificarea risc urilor/am enințărilor specifice fiec ărui activ;
• ierarhizarea riscu rilor;
• identificarea controalelo r prin care vor fi elim inate/dim inuate riscurile

Nu trebuie îns ă trecute cu vederea nici aspectele financiare.
Fiind un obiectiv com un, dictat de cerin țele de afacere, pentru c ă până la ur mă
orice activ itate deru lată de o organiza ție are o rațiune econo mica, în i mplem entarea unei
arhitecturi de securitate trebuie puse în balan ță costurile și ben eficiile.
Un mecanism de control nu treb uie să coste organiz ația ma i mu lt decât
bunul ce trebuie protejat.
Stabilire a cerințelor de s ecuritate, a m ăsurilor necesare pentru a asigura nivelu l
de control dorit, are o com ponentă deseori subiectiv ă, fiind dif icil de cuantif icat în
temeni m onetari pierderea suferit ă în ca zul u nui inc ident de securitate. Aspectele
intang ibile precum alte rarea im aginii organ izației pe pia ță, credib ilitatea în fa ța
clienților sau efectele in directe ale u nui inciden t de securitate m ajor, sunt cel m ai greu
de apreciat. Aceasta este ra țiunea și pentru care adoptarea unor standarde și pra ctici
general acceptate, sus ținute de evalu ări periodice independente este de recom andat.
7

Securitatea siste melor informatice
Acest proces nu este unul static, altfel spus trebuie avute în perm anenta în
vedere schimb ările care intervin în viata organ izației pentru a fi reflectate corespunz ător
în planul de s ecuritate. Dacă spre exem plu apare o m odificare leg islativă cu impact
asupra institu ției, trebuie avut în vedere din nou m odelul folosit pentru evaluarea
riscurilor pentru a vedea dac ă aces ta reflectă riscurile apărute ca u rmare a acestei
modificări.
În acest sens, ISO/IEC 17799 pr opune o serie de obiective de secu ritate și
controale din rândul c ărora profesioni știi le pot selecta pe acel ea care corespund afacerii
în care func ționează. Pe de alt ă parte acest stand ard nu trebu ie cons iderat un panaceu al
securității informațiilor atât tim p cât el of eră doar recom andări celor car e răspund de
implem entarea și managem entul unui sistem de securitate în cadrul unei organiza ții.

De unde se începe
Controalele interne pot f i consid erate principiile care s tau la baza im plem entării
unui sistem de m anage ment al securit ății. Chiar dacă sursele unor astfel de m ăsuri pot fi
destul de variate, punctul de plecare într-un astfel de dem ers îl reprezint ă legislația
aplic abilă. Este foarte important ca cel care se ocup ă de implem entarea unui sistem de
manage ment al securit ății să aibă cunoștințe despre actualele cerin țe leg islative :
• Legea nr. 161 din 19 aprilie 2003 privi nd unele m asuri pentru asigurarea
transparentei în exercitar ea dem nitarilor publice, a func țiilor publice si în
mediul de afaceri, prevenirea s i sancționarea co rupției.
• Legea nr. 506 din 17 noiem brie 2004 privi nd prelucrarea datelor cu caracter
personal si protec ția vieții priv ate în s ectoru l comunica țiilor e lectron ice.
• Legea nr. 677 din 21 noiem brie 2001 pentru protec ția persoanelor cu privire
la pre lucrarea date lor cu carac ter personal si libe ra circulație a acesto r date.
• Legea nr. 455 din 18 iulie 2001 privind sem nătura elec tronica.
• Legea nr. 544 din 12 octom brie 2001 privind lib erul acces la inform ațiile de
interes public.
• Hotărârea nr. 1259 din 13 decembrie 2001 privind aprobarea Norm elor
tehnice si m etodologice pentru ap licarea Legii nr. 455-2001 privind
semnătura electron ica.
• Ordinul Avocatului Popor ului nr. 52 din 18 aprili e 2002 privind aprobarea
Cerințelor m inime de securitate a prelucr ărilor de date cu ca racter personal.
• Ordinul Avocatului Popor ului nr. 53 din 18 aprili e 2002 privind aprobarea
formularelor tipiza te ale notif icărilor prevăzute de Legea nr. 677/2001 pentru
protecția persoanelor cu privire la prelucra rea d atelor cu caracter p ersonal si
libera circula ție a aces tor date.
• Ordinul Avocatului Popor ului nr. 54 din 18 aprili e 2002 privind stabilirea
unor situa ții în care nu este n ecesara no tificarea prelucr ării unor date cu
caracter personal care cad sub inci denta Legii nr. 677/ 2001 pentru protec ția
persoanelor cu privire la prelucrarea datelo r cu caracter personal si lib era
circu lație a a cestor d ate.
• Hotărârea nr. 781 din 25 iu lie 2002 privind protec ția informa țiilor sec rete de
serviciu.
• Legea nr. 182 din 12 aprilie 2002 privind protec ția informațiilor clas ificate.

8

Cap 1 – Noțiuni p rivind secu ritatea in form ațiilor
Pe lângă legislația internă trebuie avute în vedere și Convențiile interna ționale și
Reglement ările comunita re semnate de Rom ânia sau în care Rom ânia este parte.
Selectarea controalelo r trebuie s ă țină cont de specificul organiza ției. Nu toate
recom andările pot fi aplicate, cum nu toate sunt justificate din punct de vedere a l
costurilo r. Eficacitatea sistem ului de securitate depinde de:
• stabilirea un or obiective de securitate care s ă refle cte cerințele organiza ției;
• sprijinului conducerii;
• existența abilităților necesar e realizării analizei riscurilor, a vulnerabilit ăților
și a ana lizei de im pact;
• instru irea an gajaților;
• monitoriz ata controa lelor implem entate.

ISO/IEC 17799 a fost dezvoltat ca punct de plecare în dezvoltarea unui sistem de
manage ment al securit ății specific fiec ărei instituții în pa rte. De aici rez ultă caracterul
său general, controalele prezen tate în standard putând fi luate ca exem ple pentru s ituații
specifice fiec ărei instituții în p arte.
Prim ele două secțiuni ale stand ardului prezint ă Scopul respectiv Termeni și
Definiții. Scopul standardului ISO/IEC 17799 st abilește rolul acestu i doc ument ca f iind
un ghid pentru dom eniul securit ății informaționale.
Prin prezen tarea Term enilor și Definițiilor din secțiunea a doua, standardul
asigură un limbaj com un pentru profesioni știi dom eniului. Urm ătoarele sec țiuni prez intă
obiectivele de control și măsurile p rin care s e pot atinge aces te obiective.

1.3. Sec țiunile standardului de securitate ISO / IEC 17799.
1.3.1. Politica de securitate
Obiectivu l politicii de securitate este să ofere m anagem entului institu ției
sprijinul necesar asigur ării securității inf ormațiilor din cadru l organiz ației.
Conducerea oric ărei ins tituții trebuie s ă ofere suportul necesar prin elaborarea
unui document intitulat Politica de Securitate, docum ent care trebuie adus la cuno ștință
tuturo r anga jaților.
Fără un astfel de document exist ă riscul ca rolurile și responsabilit ățile re lative la
asigurarea s ecurității inf ormaționale să fie greșit înțelese. Nedezvoltarea unui astfel de
docum ent și neaducerea la cuno ștința angajaților a politicii de securitate a com paniei
induce de cele m ai multe ori o stare de s uperficialitate în trat area acestor aspecte.
Existen ta unei viziuni clare a con ducerii și o com unicare efectiv ă a acesteia c ătre
angajați este funda mentală pentru asigurarea eficien ței oricăror proceduri și măsuri de
securitate sp ecifice.
1.3.2. Organizarea securit ății
Organizarea securit ății are ca obiectiv as igurarea unei ad ministrări unitare în
cadrul o rganizației.
Fiecare utilizator al sis temului inform ațional este responsabil cu asigurarea
securității datelor pe car e le m anipulează. Exis tența unei structuri organizatorice unitare
9

Securitatea siste melor informatice
care să inițieze și să controleze im plem entarea m ecanis melor de s ecuritate în cadrul
organizației, presupune un punct central de coor donare – responsabil cu securitatea.
Rolul și atribuțiile persoanei care ocup ă poziția de responsabi l cu secur itatea
informațiilor se ref eră la coordonarea și urmărirea respect ării procedurilor și politicilor
de secur itate.
Organizarea securit ății nu se lim itează doar la p ersonalu l intern, trebuie avute în
vedere și riscurile ind use de ter ți sau subcontractori care au acces la sistemul
informațional. Acest risc nu este deloc de neglijat, ultim ele tendințe ale pieței globale ne
arată o reco nsiderare a pozi ției com paniilor f ață de externalizarea func țiilor IT, tocm ai
datorită riscului m are indus de subcontractarea acesto ra.
Obiectivul organiz ării securit ății, așa cum este docum entat în s tandard este și
menținerea securit ății tuturor f acilităților IT și activelo r informaționale accesate de c ătre
terțe persoane, fiind recom andată stabilirea unu i proces prin care accesu l terților să fie
contro lat.
1.3.3. Clasificarea și contro lul act ivelor
Măsurile de protec ție sunt proiectate în func ție de gradul de senzitivitate, și de
semnificația econom ică a resurselor vizate. Perim etrele în care s unt am plasate
echipam entele de proces are, vor fi p rotejat e cu b ariere de acces suplim entare. La fel și
telecomunicațiile cu un nivel ridicat de confiden țialita te ar tre bui crip tate. Pentru a ave a
totuși o abo rdare co erentă asupra m ăsurilor specifice de protec ție, în f uncție de gradul
de senzitivitate al fiec ărei resu rse în parte s e practică o clas ificare a inform ațiilor.
Clasif icarea inf ormațiilor este n ecesa ră atât pen tru a perm ite alocarea res urselo r
necesare protej ării aces tora, cât și pentru a determ ina pierderile poten țiale care pot să
apară ca urm are a m odificărilor, pierderii/distrugerii sau divulg ării acestora.
Obiectivu l clasificării es te crearea p remizelor n ecesare as igurării unei protec ții
corespunz ătoare va lorii activ elor ins tituției. Toate activele o rganizației trebuie s ă aibă
asocia t un proprie tar. Politica de securita te trebuie să identifice ang ajații cu ro l de
proprietar, custode, client, utilizator.
1.3.4. Securitatea personalului
Cele m ai multe incidente de secur itate s unt generate de pers onal din interiorul
organizației, prin acțiuni rău intenționate sau chiar erori sau neglijen ță în utilizar ea
resurs elor in form aționale.
Standardul ISO/IEC 17799 trateaz ă riscurile de natur ă umană ce pot fi induse
din interiorul organiza ției pr in măsuri spec ifice precum includere a resp onsabilităților
legate de securitate a inf ormațiilor în descrie rea și sarcin ile de serviciu ale postulu i,
implementarea unor politici de verificare a angaja ților, încheierea un or acorduri de
confidențialitate și prin clauze sp ecifice în con tractele d e muncă.
Securitatea infor mațiilor este un asp ect ce trebu ie avut în vedere încă din etapa
de selecție a anga jaților. Angaja ții trebuie monitoriz ați pe întreaga perioad ă de
valabilitate a contractului de m uncă și trebuie să aibă cunoștință de prevederile
politicilor d e securitate. Clauzele de confiden țialita te, def inirea conf lictelor de intere se,
distribuirea și divu lgare a informațiilor trebuie avute în vedere pentru fiecare post în
parte.
Pentru a evita neglijen ța sau greșelile de operare, utilizat orii ar trebui inform ați
cu privire la am enințările la care sunt supuse infor mațiile m anipulate. Instru irea ar
10

Cap 1 – Noțiuni p rivind secu ritatea in form ațiilor
trebu i să ofere cuno ștințele necesare asigur ării securității acestora în tim pul program ului
norm al de lucru.
Utilizato rii trebu ie instr uiți cu p rivire la proce durile de securitate ce trebu ie
urmate și utiliza rea facilităților IT în conf ormitate cu politica organiza ției.
Ar trebui s ă existe un program coerent de instruire a angaja ților pe divers e
niveluri de interes, pe lâng ă o instruire general ă în gestiun ea securit ății fiind necesa re și
specializări pentru adm inistratorii sistem ului in formatic în tehno logii de secu ritate
specifice.
Chiar dac ă securitatea unei anum ite zone IT, cum ar fi securitatea re țelei revine
unei entit ăți externe, e ste o prac tică bună ca și în in teriorul organ izației să exis te
competențele și abilitatea de a evalu a cum sunt satisf ăcute cerințele de securitate.
Instruirea est e necesară și pentru a crea ab ilitatea d e reacție la ap ariția unor
inciden te de securitate.
Raportarea inciden telor de securitate are ca obiectiv m inimizarea efectelor
negativ e sau a incorectei func ționări a echipam entelor. Mon itorizarea unor astfel de
inciden te permite deter minarea per formantei sistem elor de securitate și îmbunătățirea
continuă.
Politicile și procedur ile de securitate trebuie im plem entate as tfel încât să asigure
un răspuns consistent la as tfel de incidente.
1.3.5. Securitatea fizic ă
Delim itarea zonelor securizate are ca obi ectiv prevenirea accesulu i neautorizat
sau afectarea facilit ăților oferite de sistem ul inform ațional.
Aceasta sec țiune vizeaz ă mecanism ele prin care se as igură securitatea f izică a
imobilului în care o rganizația își desfășoară activitatea.
Alt aspect i mportant al securit ății fizice este cel legat de protec ția
echipam entelor, prin prevenirea pierder ii, dis trugerii sau com promiterii f uncționării
echipam entelor care pot afecta func ționarea organiza ției.
Echipam entele de calcul trebuie s ă fie protejate fizic îm potriv a am enințărilor
voite sau acciden tale. În acest se ns trebuie dezvoltate standarde și proceduri pentru
securizarea atât a serv erelor, cât și a stațiilor de lucru ale utilizatorilo r.
Măsurile de control al accesulu i, implem entate la nivelu l aplicației, baz elor de
date sau re țelei pot deveni inutile dac ă există și o protec ție fizică corespu nzătoare.
1.3.6. Managementul comunica țiilor și al oper ării
Operarea calculatoarelor trebu ie să asigure func ționarea fără riscuri și în bune
condiții a resurselor organiza ției. Această funcție vizează atât echipam entele și
aplic ațiile software, cât și celelalte elem ente necesare pro cesării inf ormației și susținerii
funcțiilor de afacere.
Practicile d e control recom andate pentru asigurarea oper ării de o m anieră
corectă și sigură, con stau în do cumentarea procedu rilor de op erare, contro lul
modificărilor aduse s istemului inf ormatic, atât la nivel hardware cât și software,
formalizarea tratării incidentelor de securitate și separarea responsabilit ăților.
Dinam ica mediului inform ațional dată de schim bările tehnologice continue cât și
de apariția de noi cerin țe din partea afacerii s upune sistem ul infor matic la noi dezvolt ări.
Dezvolta rea și testare a modificărilor aduse sistem ului existent pot cauza probleme
serioase op erării curen te. Pentru a contro la aces te riscuri sunt recom andate separ ări
11

Securitatea siste melor informatice
clare ale responsabilit ăților între dezvoltare, testar e și exploatare sus ținute și de o
separare a m ediilor folosite pentru aceste activit ăți.
Accesul pro gramatorilor pe m ediul de produc ție nu ar trebui perm is, iar dac ă
anum ite situ ații excepționale o cer, atunci ar treb ui controlat în deaproape.
Planificarea capacit ății sistem ului este un alt obiectiv al oper ării calcu latoarelo r
care are ca obiectiv m inimizarea ris curilor într eruperii sistemului ca urm are a atingerii
capacității maxime de procesare.
Asigurarea unei capacit ăți corespunz ătoare de procesare implic ă o planificare
riguroasă a activităților sprijinite de sistem ul inform ațional.
Trebuie dezvoltate proceduri și mecanism e de raportare care să identifice
utilizarea necorespunz ătoare a resurs elor precum și perioadele de utilizare.
Protecția îm potriv a software-ulu i malițios es te un aspect im portant întrucât cea
mai mare amenințare a activ elor inf ormatice es te dată de pierderea sau indisponibilitatea
datelo r ca u rmare a inf estării cu viru și inform atici. În toate sondajele, viru șii se află
printre prim ele locuri ca surs ă a incidentelor de secu ritate. Milioane de viru și
informatici sunt rapor tați anual. Protec ția împotriva viru șilor nu o asigur ă doar
administratorul sistem ului, ci și utilizatorul.
Asigurare a integ rității datelo r și a aplica țiilor software necesit ă măsuri d e
protecție prin care s ă se previn ă și să se detecteze in troducerea uno r aplicații ilegale în
sistem ul organiza ției.
Aplicațiile tip antiv irus trebuie in stalate pe toate calcu latoarele din sistem iar
utilizatorii trebuie instrui ți cu p rivire la folosirea acesto ra.
Alte aspecte ce fac obiectul m anagem entului oper ării și comunica țiilor v izează:
• întreținerea sistem ului, incluzând realizarea copiilor de siguran ță, într eținerea
jurna lelor de opera re, m enținerea înreg istrărilor cu erori de operare și
execuție.
• manage mentul rețelei, necesar asigu rării rețelelor de calcu latoare.
• manipularea și securitatea m ediilor de stocar e, pentru a pre veni întreru perea
activ ităților afacerii.
• schim bul de aplica ții și date între organiza ții, pentru a preveni p ierderea,
alterarea sau utiliza rea improprie a inf ormației.

Întreținerea sistem ului are ca obiectiv m enținerea disponibilit ății și inte grității
servic iilor I T.
Trebuie dezvolta te pro ceduri sp ecifice care s ă descrie ac țiunile prin care se
realizează întreținerea se rviciilor și echipam entelor IT. Între ținerea s istem ului trebuie s ă
fie un proces continuu care s ă includă obligato riu insta larea corecțiilor de securitate a
aplic ațiilor, sistem elor d e operare și sistem elor d e gestiune a bazelor de date, realizarea
copiilor de siguran ță, jurnalizarea activit ăților rea lizate în și de către sistem.
Managem entul rețelei are ca ob iectiv asigu rarea protec ției datelor trans mise prin
rețea și a inf rastructu rii fizice a rețelei.
Pentru protec ția rețelei sunt disponibile tehnologii specializate ce pot fi folosite
în im plem entare a măsurilor de se curitate și atingerea obiectiv elor de control:
• filtru – set d e reguli im plem entate la nivelu l unui router s au firewall prin care
acesta perm ite tran zitarea sau nu a traficu lui către și dinspre re țeaua unei
companii;
• firewall – dispozitiv prin care este co ntrolat tr aficul dintr e rețeaua com paniei
și rețelele ex terne aces teia;
12

Cap 1 – Noțiuni p rivind secu ritatea in form ațiilor
• Sistem pentru Detectarea Intruziunilo r (IDS – I ntrusion Detection Syste m),
dispozitiv (hardware sau software) dedicat in spectării traf icului unei rețele cu
scopul identific ării automate a activit ăților ilicite ;
• criptare co municații – procesul prin care da tele sunt aduse într-o form ă
neinte ligibilă persoanelor neautorizate;
• Rețea Virtu ală Privată (VPN – Virtua l Priv ate Network) – o re țea care
perm ite co municarea între do uă dispoz itive pr in interm ediul unei
infrastructuri publice (nesigure)
• zona dem ilitar izată (DMZ) este o parte a re țelei care p ermite accesul
controlat din re țeaua Internet. Ma șinile depen dente de ac cesul direc t la
rețeaua Internet, cum ar fi serverele de em ail și cele de web sunt adesea
plasate în as tfel de zone, izolate de re țeaua intern ă a organiza ției.

Măsurile tehnice singure nu pot asigura nivelul de protec ție neces ar, fără un
manage ment corespunz ător. Standardul ISO/IE C 17799 prezint ă controalele neces are
gestiunii corespunz ătoare a secu rității com unicațiilor.
Prevenir ea distrug erii m ediilor de stoca re al cărei efect s-ar concretiza în
întrerupe rea serviciilor sistem ului inf ormatic s-ar pu tea asigur a prin contro larea și
prote jarea mediilor de stoca re. Tr ebuie de zvoltate pro ceduri pr in care este contr olat
accesu l la orice m ediu de stocare și la docum entația sistem ului.
1.3.7. Controlul accesului
Confidențialita tea vizea ză protejarea inform ațiilor îm potriva oric ărui acces
neautor izat. Uneori este interpr etat în m od greșit ca aceast ă cerință este spec ifică
domeniului m ilitar și serviciilor de informații care trebu ie să-și protejeze planurile de
luptă, am plasam entul depozitelor de m uniție sau al rachetelor strateg ice, notele
informative. Este în să la fel de im portan tă pentru o organiza ție care do rește să-și apere
proprie tatea inte lectuală, rețetele de produc ție, datele despre pers onalul angajat, etc.
Pentru o ins tituție pub lică, datorită carac terului inf ormației pe care o gestion ează este
important să asigure în prim ul rând integritatea și disponibilitatea datelor.
Controlul accesulu i începe cu stab ilirea cerin țelor de acord are a d repturilor de
utiliza re a in formațiilor.
Accesul la facilit ățile și serv iciile of erite de s istem ul inf ormațional trebuie
controlat în func ție de s pecificul și cerințele m ediului în care își desfășoară activitatea
organizația.
Pentru a r ăspunde acestor cerin țe sunt în general definite o serie de reguli de
acces co relate cu atribu țiile fiecărui utiliza tor al sistem ului inf ormatic.
Menținerea acesto r regu li în lin ie cu cerințele organiza ției implică un proces de
gestiun e a accesulu i utilizato rilor sis temului. Obiectivul aces tui p roces este să prevină
utilizarea neautorizat ă a calcu latoarelor.
Trebuie s ă exis te p roceduri form ale prin care s ă se controleze alocarea
drepturilo r de acces la serviciile și resursele IT.
Utilizato rii autor izați trebuie ins truiți cu p rivire la m aniera în care trebu ie
raportate activit ățile sau acțiunile co nsiderate su specte.
Fiecare com ponentă a sistem ului inform ațional trebuie s ă facă obiectul m ăsurilo r
de control al accesu lui, datele trebu ie protejat e indiferent de for ma sau starea care le
caracterizeaz ă, fie că este vo rba de aplica ții software, sistem e de operare, baze de date
sau rețele de com unicații. Tehnologiile m ai vechi de gestiune a bazelor d e date precu m
13

Securitatea siste melor informatice
Fox Pro, de exem plu, nu pot asigura o protec ție a informa țiilor la n ivelul bazei d e date,
acestea fiin d stocate în fișiere nec riptate, acc esibile oric ărui utilizator, indiferent de
drepturile d e acces care i-au fo st atribuite la nivelu l aplicației. S istem ele de operare
precum DOS sau W indows 95/98 nu au m ecanisme de c ontrol al accesului, nefiind
posibilă restricționarea dreptur ilor de utilizar e a da telor la a cest niv el. Standard ul
prevede îns ă măsuri de control p entru fiecare n ivel al sis temului inform ațional:
• contro lul ac cesulu i la servic iile rețelei – conexiunile la serviciile re țelei
trebu ie con trolate iar pentru obținerea accesu lui la as tfel de servicii este
recom andată implementarea unei proceduri form ale.
• controlul accesului la nive lul sistemului de operare – sistem ul de operare
trebu ie să prevadă măsuri de restricționare a accesulu i la date exis tente pe
calcu latore.
• contro lul accesulu i la aplica ții – prev enirea accesu lui neauto rizat la
informațiile gestion ate de aplicațiile sof tware.

Oricât d e elaborate ar fi măsurile de contro l al accesului exis tă totdeauna
posibilitatea unei in truziuni, sau utilizarea inadecvat ă a resurselor existente.
Pentru a d etecta po tențialele activit ăți neautorizate es te ne cesară monitorizarea
accesu lui și utilizării sis temului inf ormatic.
Monitorizarea are un caracter continuu și implică păstrare a și revizuirea
periodică a înregistr ărilor cu even imentele de sis tem, și a activității utilizatorilor.

1.3.8. Dezvoltarea și întreținerea sistemului
Aproape mereu, atunci când e vorba de dezvoltarea și implementarea unui
sistem informatic, cerin țele de s ecuritate sunt n eglijate. Efortur ile sunt îndrep tate mai
mult spre aspectele func ționale și mai puțin pe controlu l riscu rilor de integr itate și
confidențialitate a inf ormațiilor. Or ganizațiile se expun la riscuri m ajore de operare ce
pot rezulta în pierderi financiare semnificative prin neglijarea unor m ăsuri minimale de
control al procesului de dezvoltare și im plem entare. Testarea aplica țiilor nu e ste
formalizată, ceea ce nu garanteaz ă calitate a dezvoltărilor, program atorilor li se perm ite
accesu l la m ediul de produc ție pentru corectarea unor erori nedetectate în procesul de
testare, inducând riscuri de integritate și dispon ibilitate a da telor.
Aspectele de securitate nu trebu ie ne glijate în partea de dezvoltare și
implementare, de și aces tea s-ar putea s ă deran jeze și să nu aduc ă aparent nici un
beneficiu. F ără a ține cont de recom andările de control ale acestu i proces, organiza ția
riscă să investeas că într-o aplic ație sau echipam ent care s ă nu-i ofere nici o garan ție
asupra inform ațiilor ges tionate.
Obiectiv ele de contro l prevăzute în aceas tă secțiune a standardului sunt m enite
să asigu re că noile sisteme dezvoltate au prev ăzute mecanism e de securitate, prin:
• dezvoltarea cerin țelor și analiza specifica țiilor de securita te;
• valida rea da telor de in trare
• controlul proces ării inte rne
• autentif icarea mesajelor transm ise ele ctronic
• valida rea da telor de ieșire
• utiliza rea tehnicilor de c riptare
• utilizarea m ecanism elor de sem nare electronic ă
14

Cap 1 – Noțiuni p rivind secu ritatea in form ațiilor
• protejarea codului aplica țiilor și a fișierelor sistemului de operare

De asem enea, este necesar ă și asigu rarea securit ății mediilor de dezvolta re și a
serviciilor suport. Mediile în care se dezvolt ă aplicații sau proiecte no i trebu ie strict
controlate. Mediul de testare trebuie separat de m ediul de produc ție, d atelor de te st
asigurându-li-se protec ția corespunz ătoare.
1.3.9. Planificarea continuit ății afacerii
Un plan de continu itate a afacerii reprezin tă o serie de m ăsuri de reac ție în caz
de urgență, de operare alternativ ă și de restau rare a situației în caz de dezastru pen tru a
asigura d isponibilitatea resurs elor critice și pen tru a pe rmite continu area activității în
cazul uno r inciden te majore. Majo ritatea comp aniilor nu au un astf el de plan de
continu itate, de cele m ai multe ori aceste as pecte sunt neglijate sau sunt lim itate la
achiziționarea unor echipam ente de rezerv ă sau toleran te la d efecte.
Scopul unui plan de continuitate este de a asista organiza țiile în a con tinua să
funcționeze atunci când activ itatea n ormală este întreruptă. Este mult mai bine ca a cest
lucru să fie planificat în avans, printr-o atitudine proactiv ă.
Planurile p entru con tinuitatea af acerii trebu ie să asigure disponibilitatea
proceselor considerat e critice p entru funcționarea organiza ției în cazu l apariției unor
dezastre sau întreruperi d e funcționare.
Asigurarea continuit ății afacerii p resupune parcurgerea etapelor de documentare,
testare și implem entare a planulu i de continu itate a afacerii.
Implementarea presupune instruirea personalului și dezvoltarea unor procese
speciale de gestiun e a situației de cr iză, precum și de actualizare periodic ă.
1.3.10. Conformitatea
Proiectarea, operarea sau ge stiunea sistem elor infor maționale pot face obiectul
unor reglementari, leg i sau angajam ente contractuale în ceea ce priv ește securitatea.
Pentru a evita înc ălcarea dispozi țiilor statutare sau legale , standardul prevede o
serie d e măsuri precum :
• identificarea legis lației aplicab ile
• utilizarea adecvat ă a licențelor so ftware sau a m aterialelor protejate de
drepturi de autor
• protejarea înregistr ărilor organiza ției (înreg istrări contabile, chei de crip tare,
jurnale de activitate, m edii de stocare, proceduri de lucru)

Pentru a as igura conf ormitatea cu politic ile și standard ele de securitate ale
organizației, securitatea sistem ului inf ormațional trebuie revizuit ă periodic pentru a
reflecta schimb ările tehnologice sau organizatorice.

15

2. Clasificarea inf ormațiilor
2.1. No țiuni introductive privind clasificarea modern ă a
informațiilor
Clasificarea înseam nă etichetări cre scătoare ale d ocumentelor sau infor mațiilor,
de la cel m ai de jos nivel, unde se situeaz ă informațiile des chise su neclasificate, la cele
confidențiale, urcând spre inform ații secrete și strict secrete.
În clas ificarea inform ațiilor s-a p lecat de la ideea c ă informațiile ca re prin
compromitere pot costa vie ți umane sunt m arcate drept secret, în tim p ce inform ațiile a
căror com promitere co stă pierderea multor vie ți umane sunt definite s trict secrete.
Personalul din dom eniu securit ății sistem elor sunt investi ți cu drepturi diverse,
de a lucra cu anum ite categorii de infor mații. Pe lini acces ului la unele catego rii de
informații, pentru exe rcitarea con trolului luc rurile sunt destul de clare: un angajat poate
citi docum entele dintr-o anum ită catego rie numai dacă el are cel pu țin dreptul de
accesare a infor mațiilor din acea categorie sau din un a superioa ră. Regula este c ă
informațiile pot circula d oar în sus, d e la conf idențial la sec ret și strict secret, în tim p ce
în sens invers, de sus în jos, pot circula doar dac ă o persoan ă auto rizată ia decizia de
declas ificare a aces tora.
Se utilizea ză două strategii de baz ă privind securitatea na țională, și anum e:
• tot ce ea ce n u este inte rzis este pe rmis;
• tot ce ea ce n u este pe rmis este inte rzis.

Se apeleaz ă la două tactici de im plem entare a st rategiei fundam entale privind
protejarea infor mațiilor deosebite:
• controlul discre ționar al accesu lui;
• contro lul leg al al accesu lui.

Prim a tactică de con trol al accesu lui implem entează principiul celui mai mic
privilegiu: nici o persoan ă, în virtutea rangului sau pozi ției ce o de ține, nu are drepturi
nelim itate d e a vedea in formațiile d eosebite, iar persoanele care au o as tfel de f acilitate
trebu ie să le vadă num ai pe cele care intr ă în sf era lor de a ctivitate.
Controlul d iscreționar al accesu lui este aplicat printr-o m atrice de contro l,
confor m modelului prezentat în fi gura 2.1. Pentru fiecare persoan ă aflată pe listă și
pentru fiecare inform ație, m atricea arat ă ceea ce poate face fiecare subiect cu obiectele
din listă: citire, scriere, execu ție, aprobare etc.

Subiect Obiect 1 Obiect 2 Obiect 3
Subiect 1 Execută Citește Citește
Subiect 2 Citește Citește/Scri e Aprobă
Subiect 3 Citește/Scri e Aprobă Citește/Scri e
Subiect 4 Aprobă Execută Execută
Subiect 5 Execută Citește Aprobă
Fig. 2. 1: Matricea de control al accesulu i.
16

Cap 2 – Clasificarea inform ațiilor
Controlul legal al accesului î și exercită forța pe baza legilor exis tente (legea
securității naționale), prin care sunt stabilite două tipuri de structuri de control:
ierarhizate și neie rarhizate.
Structu ra ierarhizat ă încadrează informațiile se nzitive în p atru ca tegorii: strict
secrete, secrete, confiden țiale și neclasificate;
În structu ra neierarhizat ă, sunt dou ă catego rii: co mpartim entate și cu obiec ții sau
ascunse vederii unor categorii de persoane. Compartim entările pot avea num e scurte,
sugestive, care s ă scoată în re lief anumite aspe cte. Catego ria cu obie cții privește ăn
special na ționalitate a potențialilor c ititori și autori ai ob iectelor.
Inform ațiile stric t secrete, care sunt într -o anum ită măsură com partim entare, se
numesc inform ații sen zitive com partim entate și presupun o aten ție deosebit ă la
întrebuințare. Doar o categorie d e informații este superioar ă aceste ia din urmă, și anume
despre i nformațiile d in planul oper ativ integra t unic sau răspunsul na țional în caz de
război.
2.2. Clasificarea informațiilor
Guvernele pleac ă de la o clasificare m ai largă a inform ațiilor, și anum e:
informații subiective și infor mații obiectiv e (față de împ ărțirea în clasificate și
neclas ificate).
2.2.1. Informa țiile subiective
Inform ațiile subiec tive au m ai fost carac terizate și ca "secrete adev ărate" sau
informații operaționale. Aceste inf ormații sunt unice pentru guvern, în sensul c ă el
decide asupra m odului în care se vor derula principalele activit ății ce-i revin. Cât timp
guvernul controleaz ă și protejeaz ă infor mațiile pe baza c ărora ia decizii, acele inform ații
nu pot fi dezv ăluite independent de c ătre adversar.
Aceste inf ormații au următoarele caracteristici:
• dimensiune reduc ă – secretul poate fi exprim at doa r prin câteva cuvinte; din care
cauză poate să fie ușor furat și distribuit a ltora;
• percep tibilitate un ivers ală – nu este nevoie de preg ătire special ă pentru a
înțelege secretul, o ricine poate s ă-l fure;
• supuse arbitrarului – pentru a intra în posesia lor un adversar le poate fura,
secretul nu poate fi descoperit independent;
• conținutul poate fi schimbat – secretul poate fi modificat și în ultim a clipă;
• sunt perisabile dup ă scurt tim p – secretele au o viață scurtă, el poate fi ținut doar
pentru o perioad ă scurtă de tim p.
2.2.2. Informa ții obiective
Inform ațiile obiec tive sunt ac elea care chia r dacă sunt descoperite, dezvoltate
sau controlate de c ătre guvern, pot fi deja cunoscute sau descoperite independent de o
altă țară. În aceas tă categorie intră infor mațiile științifice sau secretele științifice. Ace ste
informații nu pot avea un control absolut, ele țin de natura lucrurilor nu de un secret.
Inform ațiile obiective au urm ătoarele caracteristici:
• sunt confuze – de regul ă, nu se bazeaz ă pe o form ulă magică, pentru descrierea
informațiilor științifice s unt necesare rapoarte lu ngi, din aceast ă cauză ele nu se
pot transm ite ușor;
• pot fi înțelese num ai de oam enii de știință;
17

Securitatea siste melor informatice
• nu sunt supuse arbitrarului – și alții pot să afle răspunsul la o anum ită întrebare
științifică, dacă form ulează întrebarea resp ectivă;
• nu sunt sup use sch imbării – au caracter etern; un fenom en natural are o singur ă
valoare;
• pot avea o via ță lungă ca secret – al ții pot descoperi inform ațiile în m od
independen t, dar o astfel de descoperire n ecesită mult tim p, ceea ce va conduce
la păstrarea secretului pentru o lung ă perioadă de tim p.

Informațiile tehnice – secrete obiective
O altă categ orie de inform ații nu se încadreaz ă perfect în categoriile cun oscute,
obiective sa u subie ctive, ele fiind informațiile tehnice, d e genul proiectelor și execuțiilor
tehnice ale unor noi arm e (de exem plu), diferite de caracterul științific al proiect ării, și
sunt cunoscute ca inform ații tehnic e văzute ca s ecrete obiective.
Caracte risticile inf ormațiilor tehn ice sunt as emănătoare celor științifice, dar
există unele diferen țe. Față de inform ațiile științifice, inf ormațiile te hnice nu s unt
fenom ene naturale, ci înseam nă o m etodă, un proces, o tehnic ă sau un echipam ent
angajate în crearea unui produs. Se poate afirma c ă informațiile tehn ice sunt utiliz ate
pentru exploatarea inform ațiilor științifice.
Secrete co merciale
Secretele co merciale includ inform ațiile despre procesele de fabrica ție, rețetele
unor produse, precum și alte informații obiective care pot fi de scoperite independent de
către alții. Multe sec rete com erciale sun t asemănătoare infor mațiilor științifice și
tehnice.
2.2.3. Determinarea necesit ății clasific ării in formațiilor
În cazu l procesulu i de clasificare a in formațiilor se parcu rg trei etap e:
• stabilirea nevoii de clas ificare;
• determ inare a nivelu lui clasificării;
• determ inare a duratei c lasificării.

Etapa de stabilire a nevoii de clas ificare se realizeaz ă în cinci pa și, astfel:
• definirea cu exactitate a infor mațiilor de clas ificat (opțional, dar recom andat);
• stabilirea d acă informațiile se în cadrea ză în unul d in dom eniile supuse
clasificării;
• verificarea d acă informațiile se află sub control guvernam ental;
• determ inarea dac ă dezvăluirea inf ormațiilor p oate conduce la produ cerea de
daune pentru securitatea na țională;
• specificarea precis ă a nevoii de clas ificare a inform ațiilor.

Determinarea nivelurilor clas ificării
La cla sificarea une i informații, acesteia i s e va atribui un nivel de clas ificare,
care va evid enția im portanța relativă a inform ației cla sificate.
Un sistem de clasific are eficient se b azează pentru niveluri de clasificare def inite
cu m are claritate.
În legea 182/2002 privind protec ția inf ormațiilor clasificate, din R omânia,
informațiile clas ificate d in clasa s ecretelor de stat sunt înc adrate pe trei n iveluri:
18

Cap 2 – Clasificarea inform ațiilor
• strict secrete de im portanță deosebit ă – sunt infor mații a căror d ivulga re
neautorizat ă este de natur ă să producă daune de o gravitate excep țională
securității naționale;
• strict s ecrete – sunt inform ațiile a căror divulgare neautorizat ă este de natur ă să
producă daune grave s ecurității naționale;
• secrete – su nt inform ațiile a căror divulgare neautorizat ă este de natur ă să
producă daune securității naționale ;

Determinarea duratei clasific ării
Guvernele clas ifică informațiile și aplică proceduri de securitate s pecială
docum entelor și materialelo r ce le con țin sau sunt purt ătoare ale acestor inform ații
pentru a preîntâm pina obținerea lo r de către adversa ri, cu intenția de a le folosi
împotriva de ținătorului autor izat. În conse cință, se folose ște m etoda clas ificării
informațiilor pentru a asigura p ăstrarea secretu lui.
În general, infor mațiile, oricâ t ar f i de prețioase, nu pot fi p ăstrate o perioad ă
nelim itată de tim p fără să fie aflate d e advers ari.
Chiar dac ă infor mațiile pot f i păstrate ani m ulți fără a fi aflate de adversari, nu
este, de regul ă, recom andat să se păstreze perioade îndel ungate. Clasificatorii
informațiilor sunt cei ce vor hot ărî dacă este ca zul să se specifice tim pul de păstrare a
informației clas ificate sau să se indice m omentul în care va inte rveni declasif icarea
autom ată. Durata inf ormațiilor clas ificate trebu ie să fie atât de scurt ă cât să nu genereze
costuri fără rost cu păstrarea lo r. Nici duratele prea scurte nu sunt recom andate,
deoarece ad versarii ar intra prea devrem e în posesia lor și ar putea ac ționa pentru
șubrezirea întregu lui sistem de securitate na țională. Deci, d oar clasificatorul trebu ie să
aibă grija sta bilirii dura tei de clasif icare.
Durata c lasificării inf ormațiilor se d etermină prin una din urm ătoarele metode:
• ca perioad ă de tim p măsurată de la data em iterii docum entului;
• în funcție de un evenim ent viitor ce poate s ă apară înaintea op erațiunii d e
declas ificare;
• dacă data, respectiv evenim entul nu pot fi specificate, atunci docum entul
conținând infor mații clasif icate va fi marcat, pentru a se identif ica institu ția
aflată la orig inea lu i, ce v a avea și sarcina dec lasificării.
2.3. Declasifcarea și degradarea informa țiilor clasificate
Atunci cân d se realizeaz ă clasificarea inform ației se au în vedere anum ite
cerințe. Când, din dif erite cauze, se schim bă circum stanțele, fires c, și cerințele
îndeplinite ini țial se m odifică, caz în care inform ațiile c lasificate s e declasifică sau trec
pe un nivel inferior de clasificare.
Declasificarea inform ațiilor se ef ectuează de către reprezen tanți ai guvernului,
cărora le revine m isiunea de declas ificare. Treb uie făcută diferența între declasificarea
informațiilor și declas ificarea docu mentelor sau m aterialelor. Ultim a categor ie poa te fi
efectuată și de către contractorii guvernam entali.
Degradarea inform ațiilor clasificate înseam nă reducerea nive lului c lasificării. În
acest m od, i nformațiile stric secr ete pot f i degradate la niv elul sec ret sau conf idențial.
Inform ațiile secrete pot f i degr adate în informații confiden țiale, iar cele conf idențiale
pot fi declasificate sau, dac ă este cazul, rid icate pe un nivel superior.
19

Securitatea siste melor informatice
Degradarea se efectu ează de către persoanele care au clas ificat ini țial
informațiile, de către succesorii acestora, șefii lor sau s ă către alți oficiali
2.4. Principiile protejării informa țiilor sp eciale
Pentru protejarea informa țiilor speciale se po t defini zece p rincipii:
1. principiul delimit ării autoriz ării – repartiz area informa țiilor pe tipuri va
consta în tr-o grupare ie rarhică plus sum a com partim entărilor în care se reg ăsește
informația. Autorizarea unei persoane presupune stabilirea sferei de exercitate a
funcției și ea const ă din autorizarea pe criteriu l ierarhic al persoanei plus suma
autorizărilor com partim entărilor persoanelor din subordinea sa.
2. principiul s ecurității simple – nici o persoan ă, dintr-o anum ită subordonare, nu
trebu ie să vadă informația unei ca tegorii care d epășește auto rizarea sa.
3. principiul stea – nici o persoan ă nu va scrie ceva pe obiectele dintr-o categorie
inferioară celei la care pe rsoana are acces.
4. primul principiu al integrit ății – nici un p rogram de calculato r nu va accept
informații de la un program inferior lui, pe linia privilegiilor;
5. al doilea p rincipiu al integr ității – nici un program pentru calculator nu va
scrie ceva într-un program superior lui, prin p risma privilegiilor ;
6. principiul etichet ării – fiecare p urtător de infor mații va fi eticheta t cla r cu
catego ria in formațiilor conținute, în for mat accesib il om ului și în f ormat
sesizab il de către echip amentele periferice;
7. principiul clarific ării – nici o persoan ă sau procedur ă nu va schim ba categoriile
existente ale infor mațiilor și nici autoriz ările existente, conform unor pr oceduri
în vigoare;
8. principiul inaccesibilit ății – nici o informație nu va fi l ăsată la dispozi ția alto r
persoane sau procese, cu excep ția celor consemnate prin norm e interne;
9. principiul verificabilit ății – pentru toate activit ățile sem nificative p e linia
securității se vor crea înregistr ări imposibil d e șters, cu ro lul facilitării verificării
sistem ului.
10. principiul încrederii în softw are – cât tim p nici un calcula tor nu poate controla
perfect resp ectarea p rincipiilor ante rioar e, dar, totuși, efectu ează activități utile,
încred erea în software va perm ite apariția uno r excepții de la regulă, dacă este
cazul.

Există patru m oduri de func ționare p rin care sistem ele de prelucrare autom ată a
datelor pot asigura protec ția inf ormațiilor sp eciale:
• modul dedicat – toate inform ațiile preluc rate de sis tem fac par te din aceeași
categorie, iar persoanele sistem ului posed ă autorizație de acces la categoria
respec tivă;
• modul sistem superior – inform ațiile prelucrate de sistem pot să aparțină unor
catego rii diferite, dar to ate pe rsoan ele ang ajate în ac eastă operațiune posed ă
autorizații care să le of ere accesu l la n ivelul cel m ai ridicat al informa țiilor
prelucrate;
• modul controlat – un sistem poate prelucra inform ații din categorii diverse și
persoanele s ă aibă autorizații diferite, iar sistem ul se va baza pe restric ții fizice,
prin care s ă se respecte toate principiile s ecurității inf ormațiilor – opera țiune
destul de dificil ă.
20

Cap 2 – Clasificarea inform ațiilor
• Modul securit ății stratificate – sistem ele prelucreaz ă infor mații aparținând
diverselor categorii, iar personalul, de asem enea, dispune de autoriza ții dif erite.
Conceptul credib ilității com ponentelor inform atice (hardware, software și
firmware – sof tul af lat în m emoria ROM) rezolv ă o astfel de problem ă a
"turnului B abel" al securit ății sistem ului, asigurându- se realizarea tuturor
principiilor enun țate anterior.
2.5. Protejarea mediilor de stocare a informa țiilor
Toate m ediile de s tocare care conțin informa ții obținute în urm a prelucrării
autom ate a datelo r trebuie să fie catalog ate ca docum ente ale prelu crării autom ate a
datelo r. Ace stea pot fi CD-uri , DVD-uri, benzi m agnetice, di skete, hardiscuri, circuite
electronice etc. Regim ul lor de lucr u trebu ie să fie sim ilar docum entelor ce ar con ține
aceleași date în condi țiile prelucr ării tradiționale.
Toate m aterialele in termediare și inf ormațiile obținute în tim pul pr elucrării
autom ate a datelo r treb uie să fie consi derate ca mat eriale auxil iare. Acest ea includ
materiale an ulate (benzi și discuri magnetice, hârtie tip ărită, benzi tu șate etc.) și trebu ie
să fie supuse clasific ărilor în f uncție de inform ațiile c e le conțin.
Ștergerea in formațiilor clasificate este o opera ție de im portanță deosebită.
Persoanele care auto rizează operațiuni de prelucrare automat ă a da telor trebu ie
să veri fice exi stența unei fi șe de securitate, care s ă conțină categoria persoanei
executan te, categoria infor mațiilor pre lucrate și ins trucțiuni privind statutul
informațiilor rezultate. Se vor conse mna, de asem enea, date privind du rata pre lucrării,
timpul de utilizare a co mponentelor bazei de date, genera țiile reținute (fiu, tată, bunic)
astfel încât s ă poată fi reconstituită baza de date în caz de avarii, precum și alte cerin țe
pe lin ia păstrării cop iilor de siguran ță.
2.5.1. Marcarea materialelor cu regim special
Docum entele aflate sub regim special trebuie s ă fie num erotate și înregistrate
pentru a se putea ști ce s-a folosit s au ce s-a v ăzut din ele.
Toate docu mentele ob ținute din prelucrarea autom ată a datelo r (hâr tia d e
imprimantă) trebuie s ă fie m arcate as tfel încât s ă fie vizibil ă categoria din care fac parte,
prin plasarea m arcajulu i în colțul din dreapta sus, precum și în par tea inf erioară a
fiecărei pagini, la care se va ad ăuga și numărul de exem plare al fiec ărui docum ent.
În cazu l prelucrării auto mate a datelor, un ec ran cu inf ormații este tratat ca o
pagină de document, și încadrarea într-o catego rie sau al ta se va face pe o linie dis tinctă
a aces tuia.
Marcarea în cod ma șină trebuie să se efectueze prin c oduri sesizabile de
echipam ente, astfel încât s ă rezu lte foarte clar din ce categ orie fac parte inform ațiile
prelucrate și la ce opera țiuni pot fi supuse. Codul trebuie s ă fie una dintre prim ele
informații ce vor fi date sistem ului, astfel încât s ă nu fie posibil ă accesare alto r date
înain te de a se ști statutul lor. Codul poate fi ultim ul caracter al num elui fișierului, iar
carac terul folosit să aibă valor ile:
• S – special;
• C – confiden țial;
• P – private;
• R – cu restric ții;
• N – neclasificate.
21

Securitatea siste melor informatice
Marcarea fizică se ref eră la toate suporturile supuse prelucr ării au tomate a
datelor. Marcajul trebuie s ă reziste în timp și să nu fie afectat sau s ă afecteze prelucrarea
autom ată a datelo r. Marcarea se poate realiza chiar p e suport sau pe ambalajul care-l
conține. Sup orturile reutilizab ile treb uie să fie marcate cu etichete adeziv e sau creioane
ce pot fi șterse ulterior.
Marcarea s uporturilor de hârtie au m arcajul prin culo ri distincte: orange –
contro l special, roz – co nfidențial, verde – privat, galben – cu restric ții, albe – com une.
Dacă num ai o parte a pachetului con ține informații protejate, tot volumul va c ăpăta
același statut.
Marcarea cutiilor și a carcaselo r este n ecesară atunci când suporturile de
memorare s unt păstrate în astfel de condi ții, care în care se im pune etichetarea clar ă a
acesto ra, precum și scrierea fi șierelor conținute de suporturile din interior.
Marcarea b enzilor magnetice se face cu etich ete lip ite ch iar pe band ă, fără să
afecteze p relucrarea datelor.
Marcarea p achetelo r de discuri se realizeaz ă cu cario ca în m ijlocul ace stora.
Marcarea micro filmelor se face pe prim a im agine cadru sau pe cutie, cu
cario ca.
2.5.2. Păstrarea și distruge rea mediilor de p ăstrare a info rmațiilor
Mediile pe care p ăstrează date supuse prelucr ării autom ate a date lor și cele
auxiliare se p ăstrează în cam ere speciale.
Docum entele ce con țin informații aflate sub un contro l special se păstrează în
seifuri sau în locuri protej ate prin sis teme speciale.
Operațiunea de distrugere trebuie s ă urm eze proceduri sp eciale. Cea m ai bună
cale de distrugere este arderea , folosită, de regul ă, pentru gunoaie inform atice adunate
în pungi speciale. La opera ția de distrugere vor participa dou ă persoane, care vor ține un
registru special de consem nare a m aterialelor ce se distrug. Cenu șa trebuie s ă fie
împrăștiată pentru e liminarea o ricărei posib ilități de reconstituire a datelor distruse.
Transform area în pas tă este posib ilă doar pentru reziduurile din hârtie.
Fărâmițarea se aplic ă pentru hârtie, indigo, band ă magnetică, microfilm e.
Înain tea acestei op erațiuni, în cazul benzil or m agnetice trebuie t ăiată întreaga rol ă.
Procedurile interna ționale prev ăd ca particulele rezultate în u rma acestei opera ții să nu
fie m ai mari de 1/32inch (0,0125mm ). Procedura de f ărâmițare se ap lică, de obicei,
înain tea ard erii.
În cazul m ediilor magnetic e refolos ibile, dacă acestea de refolosesc în aceea și
unitate, noul utilizator trebuie s ă aibă cel puțin aceeași autorizare pe lin ia accesului la
informații ca și precedentul. Dac ă se utiliz ează în afara un ității em itente, vor fi luate
măsuri suplim entare și nu se va declara utilizarea anterioar ă.
2.6. Clasificarea informațiilor organiza țiilor
La nivelul unei organiza ții, informațiile se încad rează pe mai multe categ orii, în
același mod ca și informațiile naționale. Aces te categor ii sun t:
Informații care necesit ă un control special – sunt acele inform ații cunoscute ca
fiind strict secrete . La nivelul organiza ției acestea se num esc speciale, și sunt m arcate
cu S. În această categorie in tră informațiile și materialele a căror dezvăluire ar duce l a
pierderea a 10% din profitul brut anual.
22

Cap 2 – Clasificarea inform ațiilor
Informații confiden țiale la nivel de unitate , notate cu C, și care corespund
informațiilor secre te la nivel na țional. Această încadr are se atribu ie in formațiilor și
materialelor a c ăror comprom itere ar duce p a pierderea unui procent di n profitul anual
net.
Informațiile private , notate cu P, cuprind inf ormațiile și materialele a c ăror
compromitere poate prejudici a statutul unei persoane di n unitate sau al corpora ției.
Informații de uz intern , notate cu R, nu fac parte din catego riile an terioare, da r
prezin tă restri cții în utilizare.
Informații publice , sau infor mații neclas ificate, s un notate cu N.

La nivel guvernam ental, orice inform ație neîn cadra tă într-una din categoriile
speciale, su b incidența legii ac cesului libe r la in formațiile p ublice, poate fi publicat ă de
orice organ de pres ă scrisă, video sau audio, sub m otivația că "tot ceea ce nu este
interzis este perm is".
La nivelul organiza țiilor private, lucrurile stau invers, doar infor mațiile c are sunt
specificate "pentru pub lic" pot fi f ăcute publice, mergându-se pe principiul "tot ceea ce
nu este pe rmis este in terzis".
Un tratam ent special îl au inform ațiile solicitate de orga nism ele guvernam ental e
de la unitățile priva te.
2.6.1. Criterii de clasificare a informa țiilor la nivelul organiza țiilor
Valoarea – constitu ie criteriu l prin cipal de c lasificare. Dacă o informa ție es te
valoroasă pentru o organiza ție sau pentru concuren ții ei, atunci ea trebu ie să fie
clasificată.
Vârsta – conduce la s tabilirea unei valori diferen țiale. Cu cât vechim ea este m ai
mare, cu atât inform ațiile pierd din valoare. De regul ă, în dom eniul apărării, inf ormațiile
clasificate s e declasific ă după un anum it număr de ani.
Uzura moral ă – ca și la m ijloace le fixe, atunci când inf ormațiile sunt înlocu ite
de altele noi, sau când în organiza ție s-au produs m odificări radicale, vechea clas ificare
devine perim ată și va f i înlocu ită cu alta.
Asocierea cu persoanele – are influ ență în procesul de clas ificare în funcție de
importanța persoanelor care reglem entează regimul datelor personale.
2.6.2. Proceduri de clasificare a informa țiilor
În procesul de clas ificare, trebuie urmăriți anumiți pași, după o anum ită ordine
de prior itate, astfel:
• identificarea adm inistratorului/cus todelui;
• specif icarea criter iilor după care vo r fi clasificate și etiche tate inf ormațiile;
• clasificarea datelor du pă proprietar, care devi ne subiect supus audit ării
efectuate de un superior;
• precizarea și docum entarea oric ăror excepții de la politicile de securita te;
• precizarea controalelo r aplicate fiec ărui niv el de clas ificare ;
• specificarea procedu rilor de declasificare a inform ațiilor sau pentru
transferarea custodiei unei alte en tități;
• crearea unu i program de conștientizare la nivel de organiza ție despre
controalele pe lin ia clasific ării inf ormațiilor.
23

Securitatea siste melor informatice
2.6.3. Roluri și responsabilit ăți în procesul de clasificare a informa țiilor
Princip alele roluri în pr ocesul de c lasificare le au proprietarul, utilizatorul sau
custode le da telor clasificate.
Proprietaru l informa țiilor poate fi adm inistratorul sau directorul unei
organizații. O astfel de persoan ă răspunde de averile informa ționale încredințate. Spr e
deosebire de custode, proprietaru l are responsabilitatea f inală a protec ției da telor și
răspunde în fa ța leg ii în cazul neach itării de această obligație. Cu toate a cestea, tend ința
actuală este de deplasare în afara unit ății, de extern alizare, pr in semnarea actelo r de
custodie.
Printr e resp onsabilitățile unui proprietar se afl ă:
• întreprinde dem ersuri pentru stabilir ea nivelulu i de clasificare a inform ațiilor,
care înseam nă, de fapt, cerin țele org anizației de prote jare a a cestor a;
• efectueaz ă verificări periodice ale clasific ărilor existen te, în vederea ada ptării la
cerințele org anizației;
• delegă resp onsabilita tea protejării datelo r către un custode specializat și
autorizat.

Custodele informa țiilor este cel care pres tează un se rviciu exter nalizat
organizației, delegându-i-se responsabilit ățile pe linia protej ării inf ormațiilor. Aces t rol
este înd eplinit de spe cialiști în teh nologii inf ormaționale. Dintre obliga țiile a cestu ia,
amintim :
• efectueaz ă copii de siguran ță periodice și teste de rutină a validității datelor;
• efectueaz ă restaurări de dare din copiile de siguran ță, când este cazul;
• întreține da tele înreg istrate, în c oncordanță cu politic ile de c lasificare a
informațiilor.
De m ulte ori, custodele are și obligația alcătuirii s chemei de clasif icare a
informațiilor, preluând a ceste p rerogative d e la proprie tarul lor.
Utiliz atorul . Un utiliza tor final este consider at orice pe rsoană, operator, angajat,
persoană din afară, care fol osește informațiile. El este cons idera t consu mator de date
care are nev oie, zilnic, să acces eze infor mații pentru a- și duce la îndeplinire ob ligațiile
de serviciu ce îi revin.
Obligațiile u tiliza torilor sunt:
• de a urm a întocm ai procedurile de func ționare, d efinite p rin po liticile de
securitate ale organiza ției, și să respecte normele publicate privind utilizarea
informațiilor;
• să acorde to ată atenția menținerii inf ormațiilor în tim pul activit ății prestate, dup ă
cum se stip ulează în po liticile d e utilizare a inf ormațiilor e mise de organiza ția
proprietar ă. Ei trebu ie să asigu re protejarea împotriv a accesului neautorizat la
informațiile clas ificate ;
• să foloseasc ă resurs ele inform aționale ale firmei num ai în scopul urm ărit de
aceas ta, nu și în scop personal.

24

3. Controlul accesului în sistemele informatice
3.1. Tipuri de control al accesului în sistem
Controlul accesulu i în sistem este implem entat pentru redu cerea risculu i la care
sunt supuse sistem ele și pentru reducerea ev entualelor pierderi. Controlul poate fi
preventiv, detectiv sau corectiv.
Controlul p reventiv are ca scop preîntâmpinarea apari ției unor incidente în
sistem . Controlul de tectiv presupune descoperirea unor apari ții ciudate în sistem , iar
controlul c orectiv este folosit pe ntru readu cerea la no rmalitate a sistem ului după
anum ite incidente la care a fost expus.
Pentru a p utea fi atin se obiectivele e numerate m ai sus, controalele pot fi
administrative, logice sau tehnice și fizice.
Controlul a dminis trativ este exer citat pr in politici și proceduri, instruire cu scop
de conștientizare, verific ări generale, verific ări la locul de munc ă, verificarea pe tim pul
concediilor și o supraveghere exigent ă.
Controlul logic sau tehnic cuprinde restric ții la accesarea sistem ului și măsuri
prin care se asigur ă protecția informa țiilor. Din aceas tă categorie fac p arte sistemele de
criptare, cardurile de acces, lis tele de contro l al accesulu i și protocoalele de transm isie.
Controlul f izic este reprezen tat d e gărzile de paz ă și protecție, securitatea
clădirilor: s istem e de încuiere a u șilor, secu rizarea cam erelor cu servere, p rotecția
cablurilo r, separarea atribu țiilor de serviciu, și nu în ultim ul rând re aliza rea cop iilor de
siguranță a fișierelor.
Controalele vizeaz ă responsabilizarea pers oanelor care acceseaz ă informații
sensibile. Responsabilizarea este înf ăptuită prin mecanism e de control al accesului care
necesită, la rândul lor, exercitarea func țiilor de identif icare, auten tificare și auditare.
Controalele trebu ie să fie în deplin ă concordan ță cu politica de securitate a organiza ției,
iar pro cedurile de asigu rare au scopul de a dem onstra că prin mecanism ele de control se
implem entează corect p oliticile d e securitate pentru întregul ciclu de via ță aș sistem ului
informațional.
3.1.1. Modele de control al accesului
Controlul accesului de c ătre un subiect asupra unui obiect presupune stabilirea
unor regu li de acces. Aceste regu li pot fi clasificate în trei catego rii sau m odele:
contro lul o bligatoriu al accesului, controlul discre ționar al accesului și con trolul
nediscreționar al accesu lui.

Controlul o bligator iu al acc esului – în acest caz, au torizarea accesului unui
subiect la un obiect depinde de etichetă, care va specifica nivelu l de autorizare al
subiec tului precum și clasif icarea sa u senzitivita tea obi ectului. Controlul bazat pe reguli
de acces es te un tip aparte de control obligatoriu al accesu lui, pentru c ă el este pos ibil
doar pe baz ă de reguli și nu doar pe baza identit ății subiecților și obiectelor. (un subiect
trebu ie să aibă și drep tul să acceseze un obiect an ume).

Controlul d iscreționar al accesului – în acest caz sub iectul are au toritatea în
cadrul unor lim ite bine stabilite, s ă specifice ob iectele care pot fi accesibile. Se poate
25

Securitatea siste melor informatice
folosi o lis tă de contro l al accesulu i al sub iecților la ob iect. Aces t tip de acces este
folosit în s ituații locale, dinam ice, în care se las ă la discre ția sub iecților speci ficarea
tipurilor de resurse perm ise utilizatorilor s ă le acceseze.
Când un utilizato r, în condi ții bine s pecificate, are dreptu l să modifice controlu l
accesu lui pentru anum ite obiecte, se spun ă că avem un "control discre ționar al acces ului
direcționat către utilizator". Un contro l bazat pe identita te este un alt tip de control
discreționar al accesulu i care s e bazează pe identitatea unei persoane.
Controlul nediscre ționar al accesu lui – o autor itate cen trală stabilește subiecții
care pot s ă aibă acces la anum ite obiecte, în func ție de politic a de securitate
organizațională. Contro lul accesu lui poate s ă se bazeze pe rolul individual într-o
organizație (contro l bazat pe sarcin i). Acest tip de control nu necesită schim bări atunci
când un rol va fi jucat de o alt ă persoană.
3.1.2. Forme combinate de control
Prin com binarea con trolului prev entiv și dete ctiv cu m ijloacele ce lorlalte tipu ri
de control – adm inistrativ, tehnic (logic) și fizic – se ob țin următoarele com binații:
ƒ preventiv – adm inistrativ; Control preventiv ƒ preventiv – tehnic;
ƒ preventiv – fizic:
o detec tiv-
administrativ; Administrativ Tehnic Fizic
o detec tiv-tehnic;
ƒ detectiv – fizic.

În figura 3.1 se prezint ă
schem atic aceste p erechi.

Controlul preventiv – a dministrativ
În acest caz accen tul se pune pe m ecanism ele software care con tribuie la
atingerea o biectivelo r contro lului accesu lui. Aceste m ecanism e cuprind politicile și
procedurile organiza ționale, verific ările de fond înainte de angajare, practicile de
încetare a contractului de m uncă în condiții norm ale și anorm ale, planificarea p lecărilor
în concediu, etichetarea sau m arcarea m aterialelor speciale, supravegherea m ai exigentă,
cursuri de instru ire în scopul con știentizării im portanței securit ății, conștientizarea
modului de com portare precum și procedurile de sem nare a contractului în vederea
obținerii acc esului la s istem ul inf ormațional și la rețea.

Controlul preventiv – tehnic
Acest tip de contro l vizează utilizarea tehnologiilor pentru consolidarea
politicilor d e control al accesulu i. Controlul tehnic se m ai num ește și contro l log ic și
poate f i realizat prin sist emele de operare, prin aplica ții sau printr-o com ponentă
suplim entară hard/soft. Dintre aceste controale, fac parte: protocoa lele, c riptarea,
cardurile d e acces in teligente, b iometria, pachetele so ftware pentru rea lizarea
controlului local sau de la distan ță, parolele, m eniurile , softul de scanare a viru șilor etc.
Protocoalele, criptarea și cardurile intelig ente s unt m ecanism e tehnice de
protejare a infor mațiilor și parolelor împotriva ev entualelor deconspir ări.
Control detectiv
Fig.3.1: Combinarea form elor de control
26

Cap. 3 – Controlul acces ului î n sistem ele inform atice
Biom etria apeleaz ă la tehnologii precum amprenta digital ă, a retinei, irisului
pentru au tentificarea so licitanților de accesare a resurselo r sistem ului.
Pachetele s oftware ce realizeaz ă controlul accesului gestioneaz ă accesul la
resurs ele ce dețin inf ormații aflate pe plan local sau la distan ță.
Controlul preventiv – fiz ic
Aceste m ăsuri de control sunt de tip intu itiv. Ele vize ază restricționarea
accesu lui fizic în zonele ce con țin inf ormații sens ibile ale s istem ului. Zonele respectiv e
sunt definite printr-un a șa zis perim etru de securitate, aflat sub contro lul ac cesulu i.
În aceas tă categor ie intră împrejmuirile cu gard, ecusoane le, ușile m ultiple (dup ă
trecerea printr-o u șă, aceasta se b lochează auto mat, iar la u rmătoarea trebuie cuno scut
sistem ul de deschidere, persoana fiind captiv ă între dou ă uși – uși capcană), sis teme de
intrare p e bază de cartel ă magnetică, aparatura biom etrică pentru identif icare, serviciul
de pază, sistem e de contro l al m ediului, schi ța clădirii și a căilor de acces, locu rile
specia l amenajate pentr u depozitare a mediilor d e stoca re a d atelor.
Controlul o biectiv – adminis trativ
În parte, acest tip de control se suprapune peste controlul preventiv-
administrativ, pentru c ă aces tea p ot fi exercitate cu s copul prev enirii posib ilelor
încălcări ale politic ilor de secur itate sau pen tru detectarea celor în cu rs. Din aceast ă
catego rie fac parte p rocedurile și politicile de securitate, verific ările de fond,
planificarea plec ărilor în concediu, marcarea s au etichetarea docum entelor speciale,
instru iri și cursuri, reviz uirea înreg istrărilor cu scop de auditare.
Controlul detec tiv – f izic
Acest tip d e control u rmărește ev idențierea viol ării po liticii de sec uritate
folosind m ijloacele tehn ice. Aceste m ăsuri se refer ă la sistem ele de detectare a intru șilor
și la rapo artele priv ind violările s ecurității, generate au tomat pe ba za inf ormațiilor
colectate. R apoartele po t evidenția abaterile de la f uncționarea norm ală sau să detecteze
semnături cunoscute al unor episoade de acces neautorizat. Datorit ă importan ței lor,
informațiile f olosite în a udita re treb uie să fie proteja te la ce l mai înalt n ivel po sibil din
sistem .
Controlul detec tiv – f izic
Acest tip de contro l nece sită intervenția om ului pentru evaluarea param etrilor pe
care îi ofer ă senzorii sau cam erele video pentru a stabili dac ă există un pericol real
pentru s istem. În acest caz, controlul se exercit ă prin cam ere video, de tectoa re termice,
de fum și de m ișcare.
3.2. Identificarea și autentificare
În orice sistem de bariere fizice, sis temul de securitate treb uie să discearnă care
sunt persoanele autorizate , care sunt vizitatori și care su nt categoriile neautorizate.
Autentif icarea poate f i realiza tă de corpul de paz ă, de alte persoane care se ocup ă de
contro larea accesu lui sau de si stem e autom ate specializate.
Identificarea și autentif icarea pe rsoanelor se efectueaz ă în patru m oduri:
ƒ ceva aflat în posesia p ersoanei – chei, cartele m agneti ce, cartele speciale,
echipam ente de identificare personal ă și jetoane. Acestea pe rmit un prim pas
de accesare a sis temului și există marele per icol al pierderii lor sau de
înstrăinare spre utilizarea de c ătre alte persoane.
ƒ ceva care individualiz ează persoana – aceas tă me todă presupune
identificarea biom etrică, care poate fi dat ă de: amprenta dig itală, a buzelor,
semnătura, vocea, forma m âinii, imagin ea retin ei, ven ele de pe fa ța externă a
27

Securitatea siste melor informatice
mâinii, liniile din palm ă, imaginea feței etc. Toate aceste teh nici sun t foarte
scum pe, în com parație cu cele clasice, și deseori sunt incom ode sau
neplăcute la utiliza re.
ƒ ceva ce persoana știe – o parol ă, doar că aceas ta se află la d iscreția
oamenilor și securitatea sistem ului depinde de modul de p ăstrare a secretului
ei sau de u șurința cu care poate fi aflat ă.
ƒ locul geografic – unde este înregist rat calculatorul.

Metodele de contro l al accesulu i trebuie s ă se b azeze p e cel puțin două din cele
patru enumerate m ai sus, de cele mai multe ori s e apelează la combina țiile cartel ă-
parolă, cheie-paro lă, jeton-parol ă. În ultim ul timp se recom andă să se foloseasc ă și un al
treilea elem ente – cel biom etric.
3.2.1. Principiile de bază ale controlului accesului
Ca principiu general, simpla posesie a unui element de control al accesului nu
trebuie s ă constitu ie și proba accesului privilegiat la inf ormațiile importante ale
firmei, întrucât el poate fi dobândit și pe căi ilegale dau poate fi contraf ăcut.
Un al doilea princip iu arată că atunci când valorile patrimoniale sunt deosebit
de importante și mecanismul de protec ție trebuie s ă fie pe măsură, iar persoanele cu
drept de acces s ă fie cât m ai puține.
Al treilea principiu, de regul ă aplicat inform ațiilor secrete, este ace la că nici
unei persoane nu trebuie s ă i se garanteze accesul permanent, gestiunea sau
cunoașterea informa țiilor secrete numai pe motivul po ziției ierarhice pe care o
deține.
Fiecare centru de prelucrare au tomată a datelor cu m ai mult de 25 de a ngajați
trebu ie să apeleze la s istemul ecusoan elor și la bio metrie, ca m ăsuri suplim entar e față de
protecțiile realizate p rin alte metode privind accesul în cl ădire.
Locurile care nu dispun de u și ce pot f i încuiate trebu ie să aibă intrările
supravegheate, iar o persoan ă să răspundă de aceast ă operațiune. Cu acela și scop, poate
fu utiliza tă și televiziunea cu circuit închis, cu condi ția ca o persoan ă să nu
supravegheze m ai mult de trei m onitoare.

Controlul a ccesului prin obiecte
Una din m etodele folosite pentru accesul în cl ădiri sau s ăli este utilizarea unei
cartele de plastic sau a unui jeton, care ofer ă informații despre pu rtător, cum ar fi:
numele, adresa, codul cardul ui, contul bancar, infor mații medica le, dr epturi d e acces.
Toate aces te inform ații pot fi codificate prin coduri de bar ă, peliculă magnetică,
microproces or. Unele carduri con țin și fotograf ia titu larului.
Există și carduri in teligente care s e utilizeaz ă pentru criptarea și decriptarea
datelo r, se mnarea m esajelor și introducerea de pl ăți electronice. Aceste carduri
contro lează accesu l în clădire, la locurile de parcare, în s ăli, la calcu lator și la alte date
personale ale de ținătorului.

Se m ai pot f olosi și ecus oane active, care realizeaz ă iden tificarea pr in frecvențe
radio, sau prun infraro șu, putându-se citi cartele de la câ țiva m etri.
Majoritatea cartelelor sunt auto-exprinate, cu ajut orul unor tehnologii term ice
sau a unor vopsele speciale.

28

Cap. 3 – Controlul acces ului î n sistem ele inform atice
Controlul a ccesului prin biometrie
Princip alele elem ente ale corpu lui um an care se folosesc pentru id entificarea
individului sunt: recunoa șterea feței, am prenta digital ă, recunoa șterea irisu lui și
recunoașterea formei mâinii.
În tabelul 3.1 se prezint ă o com parație a celor patru tehnologii biom etrice func ție
de perform anțe și costu ri.

Tabelul 3. 1
Compararea principalelor tehnologii biometric e
Caracteri stici Recunoașterea
feței Ampr enta
digitală Recunoașterea
irisului Forma mâinii
Rata respingerilor eronate 3,3÷70% 0,2÷36% 1,9÷6% 0÷5%
Rata a cceptărilor eronate 0,3÷5% 0÷8% < 1% 0÷2,1%
Timpul pentru o verificare 10 sec 9÷19 sec 12 sec 6÷10 sec
Mărimea probei culese 84÷1300 KB 250÷1000 K B 512 B ytes 9 Bytes
Prețul echipamentelor Moderat Mic Mare Moderat
Factorii care afecte ază
probele luate Lum ina,
orientarea fe ței,
ochelarii Murdăria,
degetele
deshidratate sau
accidentele Vedere a sla bă,
încruntarea,
reflexia Răni, artrit ă,
umflături

Controlul a ccesului prin parole
Parolele sun t utilizate pentru a perm ite accesul la un calculator, fie ca utilizator,
fie sub form a grupurilor de utilizatori, fie ca personal al sistem ului de prelucrare
autom ată a datelo r. După identif icarea perso anei și eventual oferirea unei cartele de
acces, u tilizatoru l prezintă sistem ului parola proprie, fie pr in tastarea la un term inal f ie
prin introducerea une i cartele care con ține parola. Calculatorul com pară parola
introdusă cu o listă aprobată și îi p ermite sau n u utilizatoru lui accesu l și îi garanteaz ă
respec tarea dreptur ilor definite la an umite re surse ale s istemului, dr epturi care pot fi:
ƒ execuție – poate lansa în execu ție un program , dar nu i se perm ite să umble la
configurarea acestu ia, prin ad ăugare a sau m odificarea uno r linii;
ƒ citire – poate citi un fi șier dar nu m ai poate realiza nici o alt ă operație;
ƒ scriere – se pot scrie date în acel fi șier, dar fără alte drepturi;
ƒ citire -scriere – se poate c iti fișierul și se poate s crie în el;
ƒ adăugare – se pot doar ad ăuga date la fi șier, nu se pot m odifi ca datele introduse
și nici citi;
ƒ ștergere – d ă dreptul de a șterge d ate din f ișier.
Oricât d e complex ar fi s istemul cu p arole, el nu realizeaz ă și o secur itate sigură,
ea depinzând de m odul de păstrare a integ rității parole i.
Problem a principal ă a parolelor es te alegerea nejudicioas ă a acestora de c ătre
utiliza torii lor, și anum e: num ele unor eroi din film e sau bas me, al soției, a soțului sau a
copiilor, num ărul de înm atriculare etc., to ate vulnerab ile în f ața unor sp ărgători
calificați. O altă greșeală majoră este notarea parolelor d e team a de a n u fi uitate, și
lăsarea acestor noti țe la v edere, astfel încât o rice p oate vedea p arola.
Parole le trebuie să fie eliberate doar persoanelor autorizate și nu trebuie s ă fie un
proces generalizat dându- se tutu ror celor care de țin funcții de conducere în firm ă; ele
trebu ie date doar celor care lu crează cu datele protejate.
Parole le po t fi create și de utiliza tori pen tru datele mai puțin im portante, dar
există unele problem e des întâlnite, și anum e:
29

Securitatea siste melor informatice
ƒ utiliza torii n u-și sch imbă periodic parolele, iar dac ă o fac nu aduc m odifi cări
importante în structura lor;
ƒ utiliza torii își păstrează parolele scrie pe suporturi l ăsate în văzul tutu ror;
ƒ utilizatorii folosesc num e asocie ri num e-cuvinte cunoscute (num e de
persoane d ragi) ceea ce le face extrem de vulnerabile.
Dintre cuv intele u tilizate în m od eronat de utilizatori drept parol ă amintim :
PASSW ORD, PAROLA , SECRET , SMART , CLEVER , DUMM Y, CRAZY, sau chiar GHICI .
Deoarece parolele sunt n iște ch ei de acces la valorile proprii, trebuie protejate cu
grijă, și treb uie resp ectate câtev a reg uli de bază la alegerea lo r:
ƒ parolele trebuie schim bate cel pu țin odată la șase luni, iar pentru datele
deosebit de importante și mai des;
ƒ parole le co mune (utiliz ate de mai mulți) trebu ie sch imbate im ediat ce o
persoană părăsește grupul sau i s e retrage drep tul utilizării ei;
ƒ parolele s e vor schim ba im ediat ce apare b ănuiala cunoa șterii ei de c ătre
persane n eautorizate sau dac ă din m otive de for ță majoră secretul lor a
trebu it dezvăluit pentru redresarea unei st ări ano rmale tem porare ;
ƒ parole le tre buie să fie me morat e și nu s crise pe o rice, cu excep ția
următoarelo r cazu ri:
o vor fi scrise pentru situa ții de urgen ță;
o fiecare paro lă scrisă va fi introdus ă într-un plic sig ilat și marcat în
exter ior cu s curte de talii privind calculato rul la care poate f i folosită
și num ele celor au torizați a le f olosi;
o plicu l respectiv are tratam ent asem ănător averilor protejate sau al
catego riilor de inf ormații acces ate prin p arolă. După ruperea
sigiliului, pe plic vor fi trecute data și num ele celo r care au făcut-o;
o plicu rile cu parole se păstrează de către responsabilul cu securitatea
sistem ului și seif.
ƒ dacă parolele duplicat se p ăstrează prin inte rmediul calcula torului, as tfel de
fișiere trebu ie să fie protejate îm potriva accesului neautorizat și create copii
de siguran ță. Accesul la acest fi șier trebuie s ă fie înlesnit doar persoanelor
autorizate, respectându-se principiul "niciodat ă singur". L istele cu parole vor
fi memorate sub formă cripta tă;
ƒ parolele nu vor fi afi șate niciod ată pe echipam entele din configura ția
sistem ului, iar la introd ucerea lor n u trebu ie să se afle persoane str ăine în
preajmă;
ƒ parolele, în cele m ai multe cazu ri, au cel p uțin opt caractere. Ele sunt
caractere alfa num erice, folosite în ordine aleatoare, ceea ce ar însemna
câteva m ii de cuvinte de opt sau m ai puține caracte re, care pot fi tes tate cu
ajutorul calculator ului, în doar câteva m inute, deci su nt suficient de
vulnerabile pentru sp ărgătorii profesioni ști;
ƒ pentru blocarea opera țiunilor de încercare repetat ă, de ordinul m iilor,
calcu latoarele trebuie s ă perm ită un număr lim itat de încerc ări de introducere
a parolelor, de obicei trei. Dac ă limita este dep ășită de utilizator, inten ția este
raportată conducătorului sistem ului sau respon sabilu lui cu securitatea. În
acest tim p trebuie s ă se blocheze term inalul d e la care s-au efectuat prea
multe înce rcări ne reușite. În cazu l sistem elor speciale se recom andă și
blocarea s ălii sau a loc ului de und e s-a înce rcat pătrunderea în sistem prin
parole eronate repetate, pentru identificarea pers oanei respective.
30

Cap. 3 – Controlul acces ului î n sistem ele inform atice
ƒ odată pătruns în sis tem, utiliz atorului nu trebuie s ă i se pe rmită să-și schimbe
identitatea cu care a deschis sesiun ea și nici să nu poată pătrunde în parti țiile
aloca te altor utiliza tori;
ƒ dacă un term ina funcționează o perioad ă lungă de timp, procesul de
autentificare trebu ie să aibă loc la inte rvale regulat e de timp pentru a se
asigura că nu fol osește altcineva sis temul. Dacă term inalul rămâne neutilizat
dar deschis, el trebuie s ă se înch idă automat după un anum it interval de timp
(10 m inute);
ƒ la deschiderea unei noi sesiuni de lucru, utilizatorului trebuie s ă i se adu că la
cunoștință ultimul tim p de accesa re a sistem ului cu parola re spectivă, pentru
a verifica dac ă altcinev a a folosit-o în tre tim p.

Pentru preîntâm pinarea unor aspecte vulnerabile din sistem ul de protec ție pr in
parole, se recom andă aplecarea la un sistem special sau la o dovad ă de recunoa ștere a
utiliza torulu i. Acestea p ot fi: o cheie de descuiere a consolei, o cartel ă magnetică cu
microprocesor. Costul foarte ridicat , reduce u tilizarea acestu i sistem .

Accesului în sistem prin controlul poz iției geo grafic e
Autentif icarea pe b ază de localizare geografic ă este o m etodă de au tentif icare a
entităților din spa țiul cibernetic ba zată pe localizarea geod ezică (latitudine, longitudine
și altitud ine a unui loc g eografic bin e definit). A cest lu cru v a avea ca ef ect delim itarea
porțiunii din spațiu cibernetic de unde se declan șează un anu mit evenim ent.
Această autentificare se face pe baza sis temului GPS și a unui senzor SSL
(senzor al s emnăturii loc ale) af lat în posesia u tilizatoru lui.
Caracte risticile principale ale au tentif icării geodezice sunt:
• asigură o protecție con tinuă împotriva celor r ău intenționați aflați la dis tanță;
• semnătura locației poa te fi folosită ca un m ijloc com un de autentif icare ;
• prin cunoa șterea pozi ție unui utilizator, se poate identifica u șor un intrus, dar se
pot oferi și probe c ă o persoan ă nu a fost în locația re spectivă în mom entul
săvârșirii unei infrac țiuni.

O asem enea protec ție este recom andată site-urilor fixe.
Ca dezavantaj al auten tificării geodezice se m enționează:
• refuzul se rviciului (acc esului la s istem ) în cazul bru ierii sem nalului sau al
furtului senzorului;
• ușurința în localizarea unei persoane în caz de r ăzboi inform ațional, de aici
rezultă că accesul la datele geodezice trebuie s ă fie restric ționat.

31

4. Criptografia
4.1. Defini ții și noțiuni de baz ă
Scopul criptografiei este de a proteja infor mațiile transm ise fără să poată fi citite
și înțelese decât de c ătre persoanele c ărora le sunt adresate. Teoretic, persoanele
neautor izate le pot citi, îns ă practic, citirea u nei com unicații cr iptate este doa r o
problemă de tim p – egal cu tim pul aferent neces ar persoanei neautorizate de a decripta
mesajul citit.
Algoritmul criptogra fic este o procedur ă pas-cu-pas u tilizată pentru cifrarea
unui text clar și descifrarea tex telor cifrate.
Cheia sau variabila de crip tare este o inf ormație sau o secvență prin care se
contro lează cifrarea și descifrarea mesaju lui.
Cifrarea este o transform are criptog rafică a unor caractere sau bi ți.
Criptograma sau textul cifrat reprezintă un m esaj neinteligibil
Cifrul bloc se obține prin separarea textului ini țial în blocuri de câte n caractere
fiecare (bi ți) și aplicarea unui algoritm și a unei c hei iden tice, k, pentru fiecare b loc.
Codurile sunt o transform are care opereaz ă la nivelul cuvintelor sau frazelor.
Criptanaliza este ac tul obținerii tex tului c lar sau a ch eii din textul cifrat, care
este f olosit pentru obținerea inf ormațiilor nece sare aces tui sco p.
Criptarea înseam nă realizar ea formei ne inteligibile a unu i mesaj pentru a nu f i
utilizat de persoanele neautorizate s ă-l acceseze.
Criptarea e nd-to-end – în acest caz inform ațiile crip tate sunt transmise din
punctul de origine la destina ția finală.
Cheie sim etrică – atât expedito rul c ât și des tinataru l foloses c aceeași cheie de
criptare.
Cheie asim etrică – expeditorul și destina tarul folosesc che i de criptare diferite.
Criptarea înl ănțuită – mesajul circ ulă prin m ai multe noduri între expeditor și
destinatar. Un nod interm ediar prim ește mesajul, îl decr iptează cu aceeași cheie cu care
a fost cripta, îl re criptează cu o altă cheie și îl trim ite la urm ătorul nod unde procesul se
repetă până când m esajul ajunge la destinatar.
Criptografia este arta și știința ascunderii sem nificației unei comunic ări
împotriva unor intercept ări neautorizate. Cuvânt ul vine din limba greac ă, care îns eamnă
criere as cunsă: kryptos graphein .
Criptolog ia reunește criptografia și crip tanaliza.
Decriptarea este pro cesul pr in care un tex t cifrat este tran sformat într -un mesaj
inteligibil.
Sistemu l de criptar e este un set de transform ări din spa țiul mesajului clar la ce l
al tex tului cifrat.
Steganografia este o f ormă de com unicare secret ă prin care se încearc ă
ascunderea m esajului secret într-o im agine digital ă.
Textul clar este form a inteligibil ă de prezentare a unui m esaj, astfel încât el s ă
fie acces ibil oricu i.

32

Cap. 4 – Criptografia
4.1.1. Tehnici utiliz ate în criptografie
În prezen t există două tipuri pr incipale de te hnici utiliza te în cr iptografie, și
anum e:
• criptografia prin cheie s imetrice (chei secrete sau chei private) și,
• criptografia prin chei asim etrice (chei publice).

În cazu l cheii sim etrice, atât expeditorul cât și destinatarul mesajului f olosesc o
cheie com ună secretă. În cazul cheii as imetrice, expeditorul și des tinatarul foloses c în
comun o che ie publică și, individual, cât e o ch eie privat ă.
4.1.1.1. Substituția
Cea m ai simplă metodă de c riptare, prin subs tituție, este cunoscut ă în zilele
noastre sub denum irea de cifrul lui Cezar , după num ele îm păratului rom an care a
inventat-o. În acest cifr u, caracterele m esajului și numărul de repeti ții ale cheii s unt
însum ate laolaltă, modulo 26. În adunarea m odulo 26, lite relor alfabetu lui latin, de la A
la Z, li se dau valori de la 0 la 25 (vezi tabelul 4.1). Pentru cheie trebuie s ă se ofere d oi
param etri:
• D – numărul literelor ce se repet ă, reprezen tând chei;
• K – cu rol d e cheie.

Tabelul 4.1
Coresponde nța litere-numer e
Litera A B C D E F G H I JKLMNOPQRSTU V W X Y Z
Număr 0 1 2 3 4 5 6 7 8 91011121314151617181920 21 22 23 2425

Pentru a în țelege m odul de func ționare, să presupunem c ă D=3 și K = BEC, iar
mesajul secr et este "PA ROLA MEA". Atribuin d valori nu merice m esajului, din ta belul
valor ii lite relor, avem :
P A R O L A M E A
15 0 17 14 11 0 12 4 0
Valorile nu merice ale c heii sun t:
B E C = 1 4 2

După aceste coresponden țe, cheia criptat ă 142 se adaug ă literelor mesajulu i,
astfel:
Cheia reperat ă 1 4 2 1 4 2 1 4 2
Mesajul 15 0 17 14 11 0 12 4 0
Echivalentul num eric
al textului cri ptat 16 4 19 15 15 2 13 8 2
Textul criptat Q E T P P C N I C

Convertirea num erelor în litere le aferente alfab etului condu ce la textul crip tat,
așa cum se vede m ai sus: "QETPPC NIC"
În cazul cifrului lui Cezar, D = 1 și cheia este D (3), adic ă fiecare liter ă este
înlocu ită de a tre ia lite ră de după ea din alfabet – literele sunt deplasate la dreapta cu trei
poziții, (A cu D, B cu E ș.a.m.d.). Criptând m esajul dat în ex emplul anterior cu cifrul lui
Cezar, ob ținem:

33

Securitatea siste melor informatice
Cheia reperat ă 3 3 3 3 3 3 3 3 3
Mesajul 15 0 17 14 11 0 12 4 0
Echivalentul num eric
al textului cri ptat 18 3 20 17 14 3 15 7 3
Textul criptat S D U R O D P H D

Dacă sum ele valo rilor c heii și ale nu mărului af erent lite relor sunt m ai mari sau
egale cu 26, se determ ină modulo 26 din sum ă, adică rezu ltatul final es te obținut prin
scăderea din sum ă a numărului 26.
Exem plu:
D=3, K=PIC, m esajul e ste SECRET, rezultatu l va fi:
– valor ile nu merice atrib uie mesajulu i:
S E C R E T
18 4 2 17 4 19
– valorile num erice ale cheii sunt: P I C = 15 8 2

Cheia reperat ă 15 8 2 15 8 2
Mesajul 18 4 2 17 4 19
Echivalentul num eric
al textului cri ptat 33
(8) 12 4 32
(9) 12 21
Textul criptat I M E J M V

Valorile 32 și 33 nu au echivalent în alfabetu l latin, caz în care se calculeaz ă
modulo 26 din 32 și 33, rezultând valorile 8 și 9, iar noul echivalent num eric al textului
criptate este 8 12 4 9 12 21, iar textul criptat este: IMEJMV.
Cifrurile de m ai sus pot fi descrise prin ecua ția general ă:
C = (M + b)mod N
unde:
b = un num ăr întreg fix;
N = numărul liter elor din alfabet (26 pentru a lfabetul latin);
M = m esajul textului clar în form a num erică;
C = textul cr iptat scris în forma num erică.

Cifrul lui Cezar, baz ându-se pe subs tituția simplă sau m onoalfabetic ă este ușor
de spart, pentru c ă un c aracter este înlocuit de altul și această schim bare este valabil ă în
tot tex tul, ia r analiza f recvențelor de apari ție a literelor din textel e scrise ne va conduce
la caracterele adev ărate ale textului.
Cifrurile po limorfice sunt rea lizate prin apelarea la cifru ri bazate p e substituția
multiplă. De exem plu, dacă se folosesc trei alf abete pentru substitu ție, definite de cel ce
intenționează să crip teze, prim a lite ră din textul clar este înlocuit ă cu p rima literă din
prim ul alfabet, a doua liter ă a textu lui clar este înlocu ită cu prim a literă din al doilea
alfabet, a tr eia lite ră a textului cla r este înlocuită cu prim a literă din al doilea alfabet, a
patra liter ă din tex tul clar este înlocu ită de a doua liter ă din primul alfabet ș.a.m.d.

34

Cap. 4 – Criptografia
4.1.2. Permutarea sau transpozi ția
Prin aceas tă metodă în loc să se înloc uiască un caracter cu un altul, se înlocuie ște
ordinea caracterelo r. Astfel, se elim ină posibilitatea de descifrare a mesajului p rin
analiza frecven ței de ap ariție a caracterelor. Totodat ă, cheia pentru un asem enea cifru nu
este standard, în loc de o list ă a substitu irilor se va folosi o s chemă a ordinii. De
exem plu, dacă ordinea într-un cuvânt clar este 1,2,3,4,5, într-un text criptat prin
transpoziție ordinea poate fi 5,4,1, 2,3. de exemplu, cuvântul PAROLA poate fi scris
RALOPA .
Perm utările unui astfel de ciclu ac ționează într-o m atrice bloc, ceea ce îns eamnă
că va fi o matrice de tip "patul lui Procust", în ca re tot cee a ce nu încape pe o linie se va
alinia în c ea următoare ș.a.m.d.
De exem plu mesajul CITESTE SI DA MAI DEPARTE, într-o m atrice cu cinc i
coloane dev ine:
CITES
TESID
AMAI D
EPAR T
E

În această variantă, citindu-se în o rdinea lin iilor, m esajul crip tat va f i:
CITES TESID AMAID EPART E
Dacă se va lucra la co loane, pr in folosirea tr anspoziției c ontrolate p rin che i,
rezultă altceva. De exemplu, dac ă asupra colo anelor se ap lică regula 1,2,3,4,5 = 5,3,
1,4,2 – exemplul anterior devine:
E
AMAI D
CITES
EPAR T
TESID
de unde rezult ă că textul crip tat și citit pe linie va f i:
E AM AID C ITES EPAR T TE SID

Aceleași reguli se po t aplica asupra coloanelo r sau asupra liniilor și coloanelor.
Com binarea transpozi ției cu substitu ția poate s ă conducă la variante aproape
imposibil de spart.

4.1.3. Cifrul lui V ernam
Cifrul lui Vernam constă într-o cheie cons tituită dintr-un șir se caractere
aleatoare nerepetitive. Fiecare liter ă a cheii s e adaugă modulo 26 la o liter ă a mesajului
clar. În aceast ă variantă, fiecare liter ă a cheii se folose ște o singur ă dată pentru un
singur m esaj și nu va m ai putea fi folosită niciodată. Lun gimea șirului de caractere a
cheii es te egală cu lungimea m esajului. Meto da este f oarte utilă pentru criptarea
mesajelor sc urte.
Exem plu: criptarea m esajului: LA MULTI ANI

35

Securitatea siste melor informatice
Mesaj clar LAMULTIA NI 11 0 12 20 11 19 9 0 13 8
Cheie Vernam VIDAGTSROL 21 8 3 0 6 19 18 17 14 11
Suma aparent ă 32 8 15 20 17 38 27 17 27 19
Modulo 26 din
sumă 6 8 15 20 17 12 1 17 1 19
Textul criptat G I P U R M B R B T

Cifrul cart e
Acest tip de cifru apeleaz ă la diverse surse, de obicei o carte, pentru a cripta un
text. Cheia, cunoscut ă de expeditor și destinatar, poate fi form ată din pagina c ărții și
numărul rândului de pe pa gina în care se afl ă textul.

Codurile
Codurile sunt folosite pentru a transm ite construc ții predefinite din a numite
domenii. (cum se foloseau la pagere). De regul ă, sunt dou ă rânduri de c ărți, una con ține
semnificația în clar a m esajelor în ordinea alf abetică și codul corespunz ător, ceal altă
conține o rdinea cresc ătoare a codu rilor și în d reptul lor s emnificația în cla r.

4.1.4. Ascunderea informa țiilor
Ascunderea infor mațiilor se practic ă din cele m ai vechi timpuri, iar în zilele
noastre m esajele secrete pot fi ascunse în fi șiere audio MP3, în fi șiere video, im agini
sau în ins trucțiunile ex ecutabile ale u nui program .
4.1.4.1. Stegan ografia
Steganografia este arta ascunderii existen ței unui m esaj pe un anum it suport.
Term enul vine din cuvintele grece ști steganos care îns eamnă acoperit și graphien – a
scrie.
Prin Stegan ografia se exprim ă inter esul pentru conf idențialitate, deoarece scopul
ei este de a include m esaje în tr-un anum it mediu astfel în cât să rămână insesizab il.
În prezen t, o tehnic ă frecvent utilizat ă este ascunderea m esajului printre bi ții
imaginilor digitale. Imaginile sun t repre zentate prin tr-o formă matriceală de pixeli
(picture x e lements), în semnând puncte din care se realizeaz ă imagine a. O im agine
"modestă" poate avea 400×300 pixeli. Fiecare pi xel este codificat printr-o secven ță de
biți care sta bilește culoarea. Cea m ai sim plă formă de codificare este sistem ul RBG ( red
blue, green) prin 24 de bi ți, adică câte 8 biți pentru fiecare cu loare. Cei 8 biți determin ă
realizarea a 256 de variante, prin com binarea lor rezult ă aproxim ativ 17 m ilioane de
nuanțe de culori. Unora dintre bi ți li se poate da o alt ă destinație, pentru a codifica
mesaje, fără aă fie afectat ă semnificativ calita tea im aginii.
Ultim ul bit, cel m ai din dreapta, nu are un ro l semnif icativ în stabilirea culor ii, el
schim bă culoarea cu un spectru, echivalent cu modificarea orei cu o secund ă (cât
reprezintă o secund ă dintr-o or ă ?).
Biții suc cesivi ai m esajului vor f i plasați pe pozi ția biților ce l mai puțin
semnificativi ai oc teților, fără a fi afectat ă semnif icativ im aginea. F ăcând un calcul
simplu, pentru o im agine de 400×300 pixeli, fiecare cu câte trei octe ți, de la ca re se pot
împrum uta 3 biți, rezu ltă 400×300×3 = 360.000 bi ți alocați pentru m esajul nostru secret.
Un caracter poate fi scris pe 8 bi ți, deci 360.000 / 8 = 45.000 de caractere poate avea
mesajul nostru.
36

Cap. 4 – Criptografia
4.1.4.2. Filigranarea
Un f iligran este un m odel dis tinct încapsula t într-un docum ent, im agine, video
sau audio de c ătre cel care se afl ă la orig inea datelo r. Filigranu l poate avea câ teva
scopuri, printre care:
ƒ indica rea p roprie tarilor datelo r;
ƒ ținerea ev idenței copiilor datelor;
ƒ verificarea integrit ății datelor.

Filigranele folosite în bancnote au scopul de a înt ări încrederea posesor ilor că se
află în f ața banilor originali și nu a unora contraf ăcuți, scopul fiind de securizare
împotriva f alsificării. U n filigran poate f i invizibil cu ochiul libe r sau inses izabil de
ureche, dar exist ă mijloace de d etectare și extrag ere a lui pentru a se verifica
autenticita tea date lor sau sursa lo r.
Datele f iligranate sunt o funcție a u nui iden tificator și/sau cheie care este unic ă
pentru au tor. Aceste valori sunt ne cesare pentru detectarea sau extr agerea filigranului.
Dacă mai multe copii ale date lor sursă au f ost filigranate separ at, fiecare ele v a fi
prelucrată cu o cheie proprie, deci fiecare copie are am prenta ei. Prin ținerea ev idenței
fiecărei chei folosite p entru fiecare beneficiar este u șor de urm ărit cine a înc ălcat
drepturile de autor.

Filigr anele pot f i de do uă tipu ri: fragile sau so lide. F iligranele fragile sunt m ai
ușor de schimbat, dar sunt folo site doar pentru a vedea dac ă datele au fost schim bate, în
timp ce f iligranele solide rezis tă tuturor m anipulărilor și manevrelor la care sunt supuse.
Filigr anarea este similară cu s tegano grafia și se bazează pe tehnici de proiectare
apropiate.
În spațiul cibern etic, f iligran ele sunt f olosite pentru s tabilir ea în călcării
drepturilor de autor. Digim arc Technologies1 are un produs pentru protejarea im aginilor
puse de proprietar în site-ul p ropriu. Deținătorii copyright-ului insereaz ă filigranul lor,
folosind PhotoShop de la Adobe, sau un alt editor de im agine care înglobeaz ă
tehnolog ia Digim arc. Când recep torul folose ște același edito r pentru vizua lizarea
imaginilor v a fi afișat simbolul de copyright al autorulu i. Prin selectarea sim bolului se
realizează legătura cu Digim arc, de unde vor afla cine este de ținătorul dreptu lui de
autor. De as emenea, Digim arc are un m otor de căutare, MarcSpider, care caut ă imagini
filigran ate furate d e la autorii lo r.
În dom eniul pirateriei muzicii, firm a Aris Techn ologies Inc2 a realizat ap licația
MusiCode, care în capsu lează informații sursă (titlul, a rtistul, com pania de înreg istrare)
în fișierul audio. Softul este folosit pe Internet într-un m otor de căutare care com bate
pirații de melodii.
4.1.4.3. Securitatea în domeniul tip ăriturilor
În categoria securiz ării produselor tip ărite in tră o gamă largă de produse, printre
care , cele m ai importante sunt: banii, doc umente oficiale ale guvernelor, com pone nte
de avioane s au calcu latoare, până la țigări, băuturi alcoo lice s au răcoritoare etc.

1 www.digimarc.com și www.digimarc-id.com
2 www.aris-techn i.fr/
37

Securitatea siste melor informatice
Majoritatea produselor de securizare nu au preten ția că vor putea stopa pirateria,
sau falsificarea, dar scopul acestora este a dovedi înc ălcarea unor nom e com erciale și
jurid ice.
Se consider ă că în cazu l bancnotelo r false, exist ă trei nivele de verificare prin
care falsurile pot sau nu s ă treacă. Acestea sunt:
• nivelul primare de verificare – realizat de persoane le neinstruite s au cu
puțină experiență în actele de vânzare-cum părare;
• nivelul secu ndar de verificare – exercitat de personal com petent și motivat,
operatorii de la ghi șeele băncilo r sau inspec torii ca lificați ai produselor
industriale m arcate cu etichete ți/sau tim bre fiscale. Aceștia dispun de
echipam ente speciale (l ămpile cu ultravio lete, c reioane cu re activ i chim ici,
scannere sau PC-uri specializate). Aceste echipam ente nu pot fi prea
numeroase și nici prea costisitoare, iar falsificatorii le cunosc capacit ățile;
• nivelul trei de verificare – efectuat în laborat oarele speciale ale
producătorilor de ele mente de securita te p entru băncile ce realizeaz ă
emisiuni m onetare. Aces te ech ipam ente sun t foarte scum pe și destul de rare,
dar nu pot da rateuri. E le se folosesc doar în cazuri speciale.

Docum entele speciale, hârtiile de valoare folosesc, de regul ă, următoarele
produse de tip ărire:
• intaglio sau gravura cu aciz i – se u tilizea ză pentru fixa rea c u mare forță a
cernelii pe hârtie . Aceasta tehnic ă produce o imprim are în relief cu o m are
rezoluție – se utilizeaz ă la tipărirea b anilor și a pașapoartelor;
• literă presa tă – cerneala este depus ă prin rula rea c aracterelor în re lief și
presarea hârtiei pe care se realizeaz ă tipărirea, astfel încât s ă rămână urm ele
presării. Te hnica se f olosește pentru im prim area numerelor ce indic ă
valoarea bancnotelor.
• procesarea simultan ă – este tehnica prin care cerneala se transfer ă simultan
pe am bele fețe ale bancn otei, ceea ce duce o suprapunere perfect ă a tipăririi;
• ștampilele de cauciuc – se folosesc pentru a ndosarea docum entelor sau
pentru ștampila rea fotografiilor pe d ocumente;
• gofrarea și laminar ea – adică scrierea în relief și lam inarea s e folosesc
pentru m arcarea caracterelor pe card uri și fixarea fotograf iilor, scum pindu-se
astfel costu rile contrafacerii. Gofrarea se realizeaz ă fie fizic sau cu ajuto rul
laseru lui pentru f ixarea fotograf iilor pe docum entele d e iden tificare.
• filigranele – sunt zone transparente sau m arcate cu m ateriale speciale pen tru
prote jarea hârtiilo r de va loare. Se po t utiliza și fire fluorescente.

Dintre tehnicile cele m ai moderne de securizare a docum entelor se enum ără:
• cernelurile schimb ătoare optic – își pot sch imba culo area (de la verde la
galben) func ție de unghiul sub care este pr ivit docum entul. Tehnica se m ai
numește "gât de r ățoi" sau "gu șă de porum bel".
• cerneala cu propriet ăți magnetic e sau fotoacus tice
• imprimarea unor semne viz ibile doar cu echipamente speciale –
microtipărirea, tipărirea cu cerneluri ultraviolete, infraro șii sau m agnetice.
38

Cap. 4 – Criptografia
• firele sau f oile m etalice – fire cu iriz ări simple, holograme (realizată optic
și reprezin tă obiecte întregi pe un plan îndep ărtat) sau kinegramele (realizate
pe calcu lator, oferă imagini dif erite funcție de unghiul de privire).
• marca d igitală a copyright-ului – este recunoscut ă de copiatoare și scan ere,
care s e opresc la întâlnirea ei, îm piedicând repro ducerile ileg ale.
• unicitatea – este as igurată prin dispunere aleatoare de fibr ă magnetică pe
hârtie.

În ceea ce prive ște realizarea elementelo r de securitate a elem entelor tip ărite,
trebu ie să se țină cont și de următoarele:
• elem entele de securitate trebuie s ă spună ceva, să fie purtătoare ale u nui
mesaj reprezentativ pentru produs.
• trebu ie să-și găsească locul potr ivit, să se încadrez e în mod f iresc în
ansam blul docum entului, astf el în cât fixarea în m intea utilizatoru lui să fie
naturală.
• efectul lo r trebuie s ă fie evident, d istinct și inteligibil.
• nu trebu ie să intre în co ncurență cu alte produse realizate cât de cât sim ilar,
pentru a nu da curs im itărilor sau co nfuziilor.
• trebu ie să fie standardizate.

În cazul bancnotelo r, sunt necesare 20 de elemente de securizare care nu sunt
mediatizate. Doar câteva di ntre ele sunt aduse la cuno ștința inspector ilor de spec ialita te,
dar cu tim pul acestea s unt aflate și de f alsificatori. Dup ă un tim p mai îndelungat se afl ă
aproape toate cele 20 de elem ente de siguran ță, mom ent în care bancnotele sunt retrase
și sunt înloc uite cu un alt m odel.

4.2. Sisteme de criptare pr in chei simetrice (private)
Acest tip e crip tografie apeleaz ă la o singur ă cheie atât la expedito r cât și la
destinatar. E xpeditorul (em ițătorul) criptează textul clar cu ajutorul unei chei secrete, iar
destin atarul (receptoru l) îl va decripta cu aceea și cheie. Reu șita crip tării es te da tă de
secretizarea cheii. Ideal ar fi ca o ch eie simetrică să se foloseasc ă o singură dată.
Un sistem de crip tare p rin cheie s ecretă are în s tructura sa in formație publică și
informație priva tă.
Inform ația publică cuprinde:
• un algor itm folosit pen tru criptarea textulu i clar în m esaj cr iptat;
• posibil, un exem plar al textului clar și textul criptat co respun zător;
• posibil, o variant ă criptată a tex tului clar care a fost aleas ă de către un
recep tor neinten ționat.
Inform ația priva tă poate fi:
• cheia s au variab ila de criptare;
• o anum ită transf ormare cr iptog rafică dintr-o m ulțime de transform ări
posibile.

Succesul sis temului se b azează pe dim ensiunea cheii. Dac ă are m ai mult de 128
biți este una destul de sigur ă, deci sigur ă în exp loatare. Ea s e adaugă la rapid itatea c u
care s e efectueaz ă criptarea și volumul m are de date asupra c ărora poate opera.
39

Securitatea siste melor informatice
Cele tr ei caracteristici esențiale ale s istem elor bazate pe ch ei simetrice sun t:
• siguranță;
• rapid itate;
• volum mare de date criptate.

Singura problem ă a sistem ului const ă în folosire a în com un a cheii de cr iptare de
către em ițător și recep tor, ceea ce în seam nă că emițătorul tre buie să folo sească o paletă
largă de chei pentru o mare diversitate a uti lizatorilor. Sistem ele bazate pe chei publice
nu oferă mecanism ele necesare autentific ării și nerepudierii.

4.3. Sisteme de criptare prin chei asimetrice (publice)
Spre deoseb ire de sistem ele de criptare bazate pe chei secrete, care p resupun o
singură cheie cunoscut ă de em ițător și receptor, sistem ele bazate pe chei publice
folosesc dou ă chei: una public ă și una privat ă.
Cheia public ă este pusă la dispozi ția oricărei persoane care dore ște să trimită un
mesaj cripta te;
Cheia privat ă este utiliz ată pentru decriptarea m esajului, iar nevoia de a fac e
schim b de chei secrete este elim inată.
Funcționarea sistem ului:
• cheia pub lică nu poate decripta un mesaj criptat;
• se recom andă ca o cheie privat ă să nu derive dintr-o cheie public ă;
• un m esaj care a f ost criptat pr intr-o anum ită cheie poate fi decrip tat cu altă
cheie;
• cheia p rivată nu este făcută publică.

Criptogr afia prin ch ei publice este posibil ă în aplicațiile care funcționează într-
un singur sens. O func ție în sens un ic este aceea care es te ușor de calculat într-o direc ție,
dar dificil de calculat în sens invers.
Pentru o asem enea func ție, y = f(x) , este s implu de calcula t valoar ea lu i y dacă
se știe x, dar este foarte greu s-l determ inăm pe x dacă-l cunoaștem pe y (de ex. cartea
telefonică, dacă știm un număr de telefon, este foarte greu s ă găsim persoana).
Pentru ca func țiile cu sens unic s ă fie utile, ele trebuie s ă aibă o trapă, adică un
mecanism secret care s ă perm ită realizarea cu u șurință a funcției inver se, astfel încât să
se poată obține x dacă se știe y.
În contextul crip tografiei bazate pe chei publice este foarte d ificil să se calculeze
cheia p rivată din cheia public ă dacă nu se știe trapa.
De-a lungul anilor sa-a u dezvoltat m ai mulți algoritm i pentru cheile publice.
Unii din tre ei s e folosesc pen tru semnătura digita lă, pentru criptare sau în am bele
scopuri. Din cauza calculelor num eroase solicitate de criptarea prin ch ei publice, aceasta
este de la 1000 la 10.000 ori m ai lentă decât crip tarea prin chei secrete, au ap ărut
metode hibride, care folosesc criptografia prin chei publice pent ru transm iterea sigur ă a
cheilo r secrete utilizate în crip tografia prin ch ei simetrice.
Dintre a lgoritmii importanți ai cheilor public e, amintim Diff ie-Hellm an, RSA, El
Gamal Knapsak și curba elip tică,.

40

Cap. 4 – Criptografia
4.3.1. Semn ătura digital ă
Inventarea criptografiei pr in chei publice a adus dou ă mutații im portante . Prima
perm ite tr ansmiterea un ui se cret către o altă persoană fără să fie n evoie de o a treia
persoană de încredere s au de un canal de com unicație off-line pentru a transm ite ch eia
secretă. A doua m utație s-a produs pe planul calcul ării sem năturii dig itale.
Definiție:
O sem nătură digitală este un bloc de date (c ifre binare) ce se atașează unui mesaj
sau docum ent pentru a înt ări încrederea unei alte persoane sau entit ăți, legându-le de un
anum it emițător.
Legătura este realiza tă astfel în cât sem nătura digital ă poate fi verificat ă de
recep tor sau de o terță persoană și nu se poate spune d ă a fost uita tă. Dacă doar o cifr ă
binară nu corespunde, semn ătura va fi respins ă în procesul de validare.
Semnătura digital ă stabilește au tentic itatea su rsei m esajului.
Dacă o persoan ă nu-și divulgă cheia personal ă privată nimeni nu poate s ă-i im ite
semnătura. O sem nătura priv at nu înseam nă și recunoa șterea dreptului de proprietate
asupra tex tului tran smis, ci ea atest ă faptul că persoana sem natară a avut acces la el și l-
a sem nat.
Atunci când sem narea este cup lată cu crearea docum entului, sem nătura digital ă
poate oferi o prob ă evidentă a origin ii do cumentului. În aceast ă catego rie in tră
fotograf iile făcute cu cam ere digitale bazate pe ch ei priv ate, caz în care proba este de
necontes tat. Procedeul este folosit când se dore ște realizarea protec ției îm potriva
manipulării im aginilor cu calcu latorul. În acela și mod pot lucra și cam erele video sau
alți senzo ri care-și pot semna ie șirea pentru a -i certifica orig inea.
Deși sem nătura dig itală este im plem entată prin sistem ul crip tografie i cu chei
publice, în cazul aces teia com ponent a privată este folosită pentru sem narea m esajelor în
timp ce componenta public ă este f olosită pentru a verifica semn ătura.
Iată care este m ecanis mul realiz ării sem năturii digita le: Dacă (A) vrea s ă
semneze un m esaj, va calcu la o v aloare rezu mat a m esajului, care este determ inată
printre-o func ție pub lică de dispers ie (hashing ). În acest m oment nu se folosesc chei. În
pasul urm ător (A) va u tiliza o ch eie priva tă pentru sem nătură KS Apriv. pentru a calcu la o
transf ormare criptogr afică a valorii re zumat a mesajulu i. Rezulta tul, car e este sem nătura
sa pe m esaj, se ata șează mesajului. Din acest m oment, m esajul poate fi transm is unei
alte persoane, de exem plu (B), sau poate fi stocat într-un fi șier.
Când (B) prim ește m esajul, validea ză sem nătura lui (A) c u ajutoru l cheii ei
publice pentru sem nături KS Apubl, ce va fi folosit ă ca intrare într -o funcție criptog rafică
prin care se va testa dac ă valoarea rezum at determ inară de (B) este ace eași cu valoarea
codificată prin sem nătura lui (A). Dac ă valoarea coincid e, (B) va accepta sem nătura. De
remarcat că nici o cheie a lui (B) nu a fost utilizat ă în procesul de validare a sem năturii
transm ise de (A), ci doar cheile lui (A).
Dacă (A) transm ite cheia unui m esaj secret c ătre (B), v a folosi doa r cheile lui
(B).
Dacă (A) d orește să trimită un mesaj, sem nat și criptat, către B, pr ocesul
presupune utilizarea cheilor pentru sem nături ale lui A (KS Apriv și KS Apub), a cheilor lui
B de criptare (K Bpub) și o cheie a m esajulu i, K. În sintez ă, procesul este urm ătorul:
• (A) generea ză o cheie aleato are a mesa jului, K. (A) cr iptează mesajul M cu
cheia K, ob ținând m esajul cr iptat MC;
• (A) crip tează cheia K folosind ch eia public ă a lui (B) d e crip tare K Bpub,
rezultând ch eia criptat ă KC;
41

Securitatea siste melor informatice
• (A) realizeaz ă o se mnătură S folosind cheia s a privată pentru sem nătură
KS Apriv.;
• (A) tr imite către (B) urm ătoarele: KS, MC și S;
• (B) folose ște cheia sa p rivată de criptare, K Bpriv, pentru a decripta KC și a
obține ch eia K;
• (B) folose ște K pentru decriptarea MC și obține textul clar M;
• (B) folose ște cheia pu blică pentru sem nătură a lui (A), KS Apub, pentru
valida rea semnăturii S.

Tot acest proces este utilizat de procesul de crip tare a e-m ail-urilo r, așa că (A) și
(B) nu vor efectua m anual opera țiunile de m ai sus, ci le va face calculatoru l. Pentru a
dispune de aceste servicii este necesar ă contactarea unor firme sp ecializate, de exem plu
Verisign (www.verisign .com ). Oricum este neces ară obținerea unui ID digital3.
4.3.2. Sisteme de certi ficare a cheilor publice
Un sistem criptog rafic b azat pe chei publice poate fi com promis de o pe rsoană
(A) care transm ite o cheie public ă altei persoane (B) c ătre un alt p artener (C). În a cest
caz (C) va folosi cheia public ă a lui (B) pentru a crip ta mesajul, cu in tenția de a ajunge
înapoi la (B ), num ai că (A), folosin du-și prop ria cheie priv ată, va face ca recep torul să
fie el, reu șind astf el să decrip teze m esajul care era adres at lui (B).
Pentru a evita o as tfel d e ciudățenie, se recurge la procesu l certificării, prin car e
persoanele sunt legate de cheile lor publice. Docum entul oferit de o "Autoritate de
Certif icare" acționează ca orice alt em is de un notar și se efectueaz ă după aceleași
reguli, adic ă pe baza verific ării ide ntității persoanei solicitante, concretizându-se prin
atribuirea un ei chei publice pentru persoana respectiv ă. Unitatea de certificare s emnează
certificatu l cu propria cheie privat ă. Din aceast ă cauză, persoana este verificat ă ca
emițător dacă este necesar ă cheia ei public ă pentru deschiderea sesiunii de transm itere a
mesajelor criptate și/sau a se mnăturilor electronice. Certificatul co nține num ele
subiec tului, cheia lu i publică, num ele autorit ății de certificare, perioa da de valabilita te a
certificatu lui. Pentru a verifica semn ătura autorit ății de certificare, cheia ei pub lică
trebu ie să fie veri ficată încrucișat cu o alt ă autoritate de certificare.
Certificatele sunt păstrate într-un Registru, al ături de lista ce rtificatelor revocate.
În principiu, opera țiile p entru obținerea ce rtificatelor digitale și validarea tran zacțiilor
sunt redate în figura 4.1:

3 cadru l legal de utilizare a sem năturii electronice în Rom ânia se găsește la www.leg i-
internet.ro/lgsemel.h tm Autoritatea de
certificar e

Registru Entitate_1: solicitant ă a
certificatului digital 1. Solicitare C ertificat Dig ital
2. Certificat Di gital Sem nat
Tranzacție solicitat ă
de Entitate_2 3. Tra nzacția
certificată 4. Certificat
semnat
5. Solicitarea verific ării ch eii publice
a Entității_1
6. Răspunsul dat cererii de ve rificare
Fig. 4. 1: Prezentarea unei tranzac ții cu certificate digitale.
42

Cap. 4 – Criptografia
4.3.3. Infrastructura cheilor publice (P KI)
Infrastru ctura cheilor publice (PKI – Public Key Inf rastructure) își propune s ă
rezolve problem e manageriale din dom eniul cheilor publice, integrând sem nături și
certificate digitale cu o m are diversit ate de a lte servic ii specifice com erțului electron ic,
prin car e se solic ită oferirea in tegrității, co ntrolu lui ac cesulu i, conf idențialității,
autentif icării și a ner epudierii tranza cțiilor electro nice.
Infrastru ctura cheilor p ublice cupri nde certificatele dig itale, au toritățile de
certificare, autorit ățile de înr egistrare, po litici și pro ceduri cu chei pu blice, revo carea
certificatelo r, nerepud ierea, m arcarea tim pului, certificarea încru cișată, aplicații de
securitate, L DAP (Lightweight Directory Acces Protocol).
Certif icatele cheilor pu blice pot f i eliber ate în regim on-line sau of f-line. În
sistem off-line, o persoan ă trebu ie să se legitimeze cu un act de identitate. În varianta
on-lin e, certificatele s e pot oferi ca r ăspuns al unei cereri for mulate prin e-m ail sau
direct de pe un site specializat.
Com pania Verising ofer ă trei clase de certificate personale, num ite ID digital,
toate lega te de e-m ail:
• clasa 1 de certificate – verifică adresa de e- mail a utilizatoru lui, fără să
solic ite alte elem ente de autentif icare. După expr imarea inter esului p entru un
certificat, s istem ul trim ite o confirm are cu un PIN pe adresa de e-am il a
persoane i. Utilizato rul se în toarc e la site-u l anterior (al companiei) și oferă
PIN-ul, dup ă care este g enerat un ID digital și se memorează în calculatorul
utilizatorului.
• clasa 2 de certificare – cere utilizatorului s ă mai introduc ă și Socia l Security
Num ber, adresa și seria carnetului de șofer;
• clasa 3 de certificare – este destina tă com paniilor ce p ublică software,
oferindu-le un grad m ult mai mare de securitate, dar exist ă și o variant ă
pentru persoane fizice ocupa te cu transferuri ban care și contracte.

43

5. Modele și programe de securit ate
5.1. Modele de securitate multinivel

Din punct de vedere al securit ății, un sistem este diviz at în straturi, prin linii
orizontale, realizându-se a șa-zisa se curitate pe n ivele m ultiple (m ultinive l) prin car e se
realizează o delim itare netă între d iferite categ orii de info rmații din sistem (publice,
confidențiale, secrete, strict secrete). Aceast ă delimitare as igură certitudinea acce sării
informațiilor dintr-o an umită clasif icare num ai de persoan ele care au autorizația de
același nivel (sau mai mare) cu clas ificarea inform ațiilor a ccesate. Sche matic, siste mul
multinivel p oate fi rep rezentat ca în figura 5.1.
Politicile de contro lare a accesului sunt
foarte clare: o persoan ă poate accesa u n
docum ent num ai dacă autorizarea sa este cel
puțin egală cu nivelul d e clasificare al inform ației
citite. Ca efect, informațiile vor circula doar de
jos în sus , de la nivelul CONFIDEN ȚIAL, l a
SECRE T, STRICT SE CRET ș.a., iar de sus în
jos nu au v oie să circu le decât dac ă o persoan ă
autorizată le declas ifică.
strict
secre t
secret
confiden țial
public
5.1.1. Modelul B ell-LaPadula
Unul din cele m ai cunos cute m odele al poli ticilor de securitate este cel propus de
David Bell și Len LaPadula, în 1973, și este cu noscut sub num ele Bell-LaPadula sau
modelul de secur itate multin ivel. Sistem ele ce le ado ptă sunt numite și „sigure
multinive l” sau MLS ( MultiLeve l Secure ). Proprietatea de baz ă a aces tor sis teme este
aceea că informațiile po t circula în jos .
Form al, m odelul Bell-L aPadula a introdus trei principii: Fig. 5. 1: Modelul de securitate
multinivel
• principiul (sau proprietatea) securității simple , prin care nu-i este perm is nici
unui proces s ă citească date aflate pe un nivel s uperior lui. Este cunoscut și
ca Nu citi deasupra (No Read Up, NRU) ;
• principiul * (se citește stea): n ici un proces nu poate să scrie date pe un nivel
aflat sub el. Este cunoscut și ca Nu scrie ded esubt (No Write Down , NWD );
• princip iul securității discreționare introdu ce o matrice de acces p entru a
specifica co ntrolu l acces ului dis creționar. Este cunoscut și ca Trusted Subject
(subiect de încred ere). Prin acest p rincipiu, su biectu l de încredere vio lează
principiul *, dar nu se abate de la scopul s ău. Cele trei princip ii sunt redate în
figura 5.2.

44

Cap. 5 – Modele și program e de secu ritate

Nivel de sensibilitate ridicat ă
5.1.2. Modelul matricei de control al accesului
Printr-o m atrice de acces se ofer ă drepturi de acces pentru subiecte de încredere
la obiectele sistem ului. Dreptu rile d e acces sunt de tipu l citește, scrie, execută ș.a. Un
subiect de în credere este o entita te activă care își caută dreptu rile de acces la resu rse sau
obiecte. Subiectul poate fi o persoan ă, un program sau un proces. Un obiect este o
entitate pa sivă, cum sunt fi șierele sau o resur să de stocare. Sunt cazuri în care un
elem ent poate fi, într-un anum it context, subiect și, în alt context, poate fi obiect. Un
exem plu de m atrice de acces es te red ată în figura 5.3.
Coloanele s e num esc Liste de control al a ccesului , iar lin iile, Liste de
competen țe. Modelul matricei de co ntrol al accesului accept ă controlul discre ționar al
accesu lui pentru că intrările în matrice sunt la discreția persoanelor care au auto rizația
de a com pleta tabe lul.
În m atricea de contro l al accesului, com petențele unui subiect sunt definite prin
tripleta ( obiect, d repturi, num ăr aleator ).

Obiecte
Subiecte Fișier_1 Proces_1 Fișier_2 Fișier_3
Subiect_1 Citește/scrie Execută Citește Scrie
Subiect_2 Scrie Execută Nimic Citește
Subiect_3 Citește/scrie Execută Citește/scrie Nimic
Subiect_4 Scrie Nimic Scrie Scrie
Fig. 5. 3: Matrice de control al acce sului.

5.1.3. Modelul Biba
În multe cărți, este am intit și modelul Biba, al lui Ken Biba, ocupându-se doar de
integ ritatea sistem elor, n u și de confiden țialitate. El se bazeaz ă pe observa ția că în m ulte
cazuri confiden țialita tea și integ ritatea sunt concepte duale: în tim p ce prin
confidențialitate se im pun res tricții celo r ce p ot citi un m esaj, prin integ ritate sunt
controlați cei ce pot s ă scrie sau s ă modifice un mesaj. Nivel de sensibilitate medie
Nivel de sensibilitate redus ă Scrier e DA,
conform
principiul ui *
Citire D A, conform
principiul ui
securității simple Scrier e DA, prin vi olarea
principiul ui * de către un
subiect de încredere
Fig. 5. 2: Modelul Bell-LaPadula, cu cele trei principii
45

Securitatea siste melor informatice

În unele organiza ții gu vernam entale sau com erciale exis tă aplicații în care
integ ritatea datelo r este mult m ai importan tă decât confiden țialitate a, ce ea ce a făcut să
apară modele for male ale integ rității.
Integritatea vizeaz ă trei scopuri principale:
• protejarea datelor îm potriva m odificărilor ef ectuate de u tiliza torii neau torizați;
• protejarea datelor îm potriva m odificărilor neau torizate efectuate de u tilizatori
autorizați;
• asigurarea consisten ței interne și externe a datelo r.

Modelul a fost realizat în 1977 ca unul al integrit ății datelor, așa cum modelul
Bell-LaPadula este cunoscut ca m odelul confiden țialității datelor. Mod elul Biba es te
unul de tip re țea și folosește relația mai mic sau egal . O structur ă a rețelei este definit ă
ca un ansamblu par țial ordonat cu cea m ai mică limită superioar ă, LU B (Least Upper
Bound ), și cea m ai mare lim ită inferioară, GLB ( Greatest Lower Bound ).
O rețea rep rezintă un an samblu de clase d e integritate (CI) și de relații ordonate
între aces te clase. Ea po ate fi definit ă astfel:
(CI <= LUB, GLB).
Așa cum Bell-LaPadula opereaz ă cu niveluri diferite de sensibilitate, modelul
Biba clasific ă obiectele în diferite niveluri de integritate. Modelul enun ță trei axiom e ale
integ rității:
• axioma integrit ății simple. Ea stabile ște că unui subiect aflat pe un anum it
nivel d e integritate nu -i es te permis să observe (citeasc ă) un obiect de o
integ ritate m ai joasă (No Read Down , Nu citi ded esubt).
• axioma integrit ății * (se citește stea) s tabilește că unui obiect situat pe un
anum it nivel de integritate nu-i este perm is să modifice (sc rie) alt obiec t situat pe
un nivel m ai înalt de in tegritate ( No Write Up , Nu scrie deasupra) ;
• un subiect de pe un a numit nivel de in tegritate nu poat e solicita un subiect
situat pe un nivel de in tegritate sup erior.

Axiom ele și modelul Biba sunt redate în figura 5.4.

Nivel de integritate ridicat ă
Nivel de integritate medie
Nivel de integritate redus ă Solicitare NU Subiect
Citire D A, conform
axiomei integrit ății
simple
Subiect
Scrier e DA, conform
axiomei integrit ății *
Fig.5.4 : Modelul Biba
46

Cap. 5 – Modele și program e de secu ritate

În prac tică au f ost im plem entate m ai multe tipuri de sistem e de securitate
multinive l, cum sunt SCOMP, Blocker, MLS Unixe, CMW s, NRL Pum p, MLS
Logistics, P urple Penelope ș.a.

5.2. Modele ale securit ății multilaterale
Deseori, în realitate, preocup ările noastre s-au
concentrat n u către prevenirea cu rgerii în jos a infor mațiilor, ci
către stoparea fluxurilor între diferite com partimente. În astfel
de sistem e, în locul f rontiere lor or izontale, așa cum recom andă
modelul Be ll-LaPadu la, s-au creat altele verticale, conform
figurii 5.5.

Acest control al fluxuri lor infor maționale laterale este unul organiza țional, așa
cum este cel al organiza țiilor sec rete, pentru păstrarea în tain ă a num elor agenților care
lucre ază în alte țări, fără să fie cu noscuți de alte departam ente speciale. La fel se
întâm plă și în com panii, unde separarea vertical ă a com partim entelor, dup ă funcțiile
îndeplinite (produc ție, com ercială, personal-salarizare ș.a.), conduce la o situa ție
identică.
Există cel p uțin trei m odele diferite de implem entare a controlului acces ului și de
control al f luxurilor inform aționale prin modelul secur ității mult ilaterale. Aces tea
sunt:
• compartimentarea , folosită de comunitatea se rviciilor secrete;
• zidul chinez esc, folosit la des crierea m ecanism elor utilizate pentru
prevenirea c onflictelor de interese în practicile pr ofesionale ;
• BMA (British Med ical Associatio n), dezvoltat pentru descrierea fluxurilor
informaționale din dom eniul sănătății, conform cu etica m edicală.

Compartimentarea și modelul r ețea
Ani m ulți acest m odel a servit ca p ractică standard, în SUA și guvernele aliate,
pentru restric ționarea accesulu i la inform ații, prin folosirea cuvintelor-cod și a
clasificărilor. Este arhicunoscut cuvântul-cod Ultra , folosit în cel de-a l doilea r ăzboi
mondial, de c ătre eng lezi și america ni, pentru de criptarea mesajelor criptate de germ ani
cu m așina Enigm a. Cercul persoan elor cu acc es la m esajele d ecriptate f iind foarte red us,
numărul autoriz ărilor pe ntru inform ații de pe cel m ai înalt n ivel de clasif icare era m ult
mai mare. Prin f olosirea cuvin telor-cod s e creează o puternic ă subcompartim entare,
chiar a categ oriei strict s ecret și deasupra ei.
Cuvintele-cod sunt folosite pentru crearea grupurilo r de c ontrol al accesu lui
printr-o variant ă a m odelulu i Bell-LaPadula, num ită modelul r ețea. Clasif icările,
împreună cu cuvintele-cod, for mează o rețea, confor m figurii 5.6. Potrivit m odelului, o
persoană autorizată să aibă acces la inform ații SECRETE nu poate a ccesa inf ormații
SECRE TE CRIPTO, da că nu are și autor izație pentru CRIPTO.
Ca un sistem s ă răspundă acesto r cerințe, va trebui ca p roblem ele clasific ării
informațiilor, ale auto rizării persoan elor și ale e tichetelor c e însoțesc inform ațiile să se
transf ere în politica d e secur itate pentru a def ini țintele se curității, m odul de
implem entare și evaluare.
Date partaj ate Departament 1
Departament 2
Departament k
Fig. 5. 5: Modelul
securității multilaterale
47

Securitatea siste melor informatice

Modelul z idului chinez esc
Modelul a fost realizat de Brewer și Nash. Num ele provine de la faptul c ă
firmele care presteaz ă servicii financiare, cum sunt băncile de investi ții, au normele lor
interne pentru a prev eni conf lictul de interese, n orme num ite de auto ri zidul ch ineze sc.
Aria de ap licare este, însă, mai largă. Se poate spune c ă toate firm ele prestatoare de
servic ii au c lienții lor și pentru a-i p ăstra se afl ă într-o ver itabilă com petiție. O regul ă
tipică este urm ătoarea: „un parten er care a lu crat recen t pentru o co mpanie dintr-un
anum it domeniu de ac tivita te nu po ate să aibă acces la do cumentele c ompaniilor din
acel dom eniu”, cel pu țin pentru o perioad ă controlat ă de tim p. Prin ace asta,
caracteristica m odelului zidulu i chinezesc cons tă într-un mix de libertate de opțiune și
de control o bligator iu al accesului : oricin e este liber s ă lucreze la orice companie, dar
îndată ce a optat pentru una, se supune restric țiilor ce op erează în domeniul respe ctiv
de activita te.
Modelul z idului chin ezesc introdu ce principiul separ ării ob ligațiilor de s erviciu:
un utilizator anum e poate s ă prelucreze tran zacțiile A sau B, nu am ândouă. Așadar,
putem spune c ă modelul zidu lui chinezes c ad uce elem ente noi pe linia control ării
accesu lui.
Modelul B MA (Britis h Medical Association )
În dom eniul m edical sunt confrunt ări serio ase privind to cmai sistemele de
securita te a datelo r pac ienților. În e fortul m ultor țări de a introduce carduri inteligente
cu datele m edicale pers onale, s e înregistreaz ă o puternică opoziție din partea publicului.
Acesta invoc ă vulner abilitatea ind ividului p rin trece rea in formațiilor despre anu mite
boli foarte grave, purtate pân ă acum pe brățara d e la m ână, pe cartela inteligen tă, ceea
ce va face ca atunci cân d se va afla în avion, în țări străine, să fie foarte greu sau chiar
imposibil să i se citeasc ă informațiile respe ctive. O altă problemă se referă la păstrarea
secretului datelor pe rsonale sau a un ei părți dintre aces tea.
Cea mai mare temere vine din cauza prolifer ării practicilor de inginerie socială,
putându-se afla cu mult ă ușurință date personale din baze de date m edicale.
Scopul m odelului politicii de securitate BMA este acela de consolidare a
principiului consim țământului pacientului și de a preven i accesul p rea multor p ersoane
la datele personale din bazele de date ce le con țin. Totul s-a rezum at la un nou sistem de
codificare. Politica BMA se bazeaz ă pe nouă principii, form ulate foarte pe scurt astfel: (Strict secr et, [cripto, luna ])
(Strict secr et, [cripto ]) (secr et, [cripto, luna ] )
(Strict secr et, []) (secr et, [cripto ])
(secr et, [])
(neclasific ate, [])
Fig. 5. 6: Model rețea cu et ichete de sec uritate.
48

Cap. 5 – Modele și program e de secu ritate
• controlul accesului,
• deschiderea înregistr ărilor, c
• ontrolul m odificărilor d in liste,
• consimțământul și notificarea clientului,
• persis tența,
• marcarea accesulu i pentru a serv i ca probă în justiție,
• urmărirea fluxului inf ormațiilor,
• controlul agreg ării inf ormațiilor,
• încrederea în sistem ele informatice.

Unii autori s usțin că politicile de sec uritate deseo ri înseam nă un abuz de mijloace
pur m anageriale, neglijându-se trei term eni preci și, utiliza ți pentru descrierea
specificațiilor tehn ice ale cerin țelor sistem elor d e securita te, prezen tați în continua re.
Modelul polit icii de securitat e este o declara ție succin tă a propriet ăților sau
principiilor securit ății, ca un sistem sau ca un tip generic de sistem . Punctele sale
esențiale pot fi consemnate în scris, pe cel m ult o pagin ă, iar docum entul r espectiv
prevede scopurile protec ției unui sistem , agreate de într eaga com unitate sau de linia
managerială a clienților. Un astf el de m odel constitu ie ba za de pornire a analize lor
formale m atematice.
Ținta securit ății este o descriere mult m ai detaliată a mecanismelor de p rotecție
oferite de o anum ită variantă de implem entare, precum și a m odului în ca re ele concu ră
la atingerea obiectivelor de control ale sistem ului. Ținta securit ății form ează baza test ării
și eva luării produsului implem entat.
Profilu l protecției, ca și ținta s ecurității, ex primă o ca le independent ă de
implem entare, care s ă perm ită evaluări com parative ale p roduselor s au versiunilo r lor.
5.3. Programul de securitate
Program ul de securitate al un ei co mpanii treb uie să se su pună unor elem ente
constitutive, și anum e: efectuarea structu rării program ului de securitate, definirea
politicilor d e secur itate, a standardelor, norm elor și a proc edurilor.
Fără politici riguroase, program ele de securitate vor fi aproape f ără suport,
ineficien te și nu se vor alin ia stra tegiei și obiectivelor organiza ției. Politic ile,
standardele, norm ele și procedurile constituie funda ția programului de secur itate al
organizației. Politicile e ficiente, cla r formulate, vor serv i procese lor de auditare și
eventua lelor litig ii. Co mbinând elem entele specificate, o entitate poate im plementa
controale sp ecifice, p rocese, program e de conștientiz are și multe altele, tocm ai pentru a-
i aduce un plus de lini ște. Spune românul: paza bun ă trece prim ejdia rea.
5.3.1. Politicile de securitate
Atunci când ne ref erim la securitate inf ormațională, noțiunea de politic ă de
securita te po ate ave a mai multe înțelesuri, iat ă câteva dintre ele:
• politica d e firewall-u ri, utiliza te pen tru con trolarea accesulu i și a traseelor pe
care circu lă informațiile;
• lacătele, cardurile de acces, cam erele de luat vederi ce înregistreaz ă totul din
perim etrele controlate.

49

Securitatea siste melor informatice
La im plem entare a politicilo r de sec uritate , trebuie pornit de la vârful piram idei
manageriale, unde se afl ă top managerii . Aceștia au m isiunea de a form ula Decla rația
politicii organiza ției. Aceasta este o for mulare general ă, o declara ție din care s ă reiasă:
• importanța resurse lor inf ormaționale pentru atingerea obiectivelor s trateg ice ale
organizației;
• formularea clar ă a sprijin ului aco rdat tehnolog iilor inform aționale în un itate;
• angajam entul top m anagerilor de a autoriza sau coordona activit ățile de definire
a standardelor, procedurilor și norm elor de securitate de pe nivelurile inferioare.

În afara declara ției politicii de secu ritate la n ivelul top m anagerilor, e xistă și
politici ob ligator ii, politici recom andate și politici inf ormative.
Polit icile o bligator ii sunt politici de securitate pe care organiza țiile sunt
obliga te să le im plem enteze ca efect al acordurilo r, regulam entelo r sau al altor prev ederi
legale. De regul ă, aici se încadreaz ă instituțiile financia re, ser viciile publice sau orice alt
tip de organiza ție care servește interesului pub lic. Aceste po litici sunt f oarte d etaliate și
au elem ente specifice, în func ție de dom eniul de aplicare.
De regulă, politicile ob ligator ii au do uă scopuri de baz ă:
• asigurarea c ă o organiza ție urm ează procedurile standard sau politicile d e bază
din dom eniul ei de activitate;
• de a oferi încredere organiza țiilor că ele u rmează standardele și politicile de
securitate din dom eniul de activitate.

Politicile recomandate, prin defini ție, nu sunt obligatorii, dar sunt puternic
susținute, cu prezentarea consecin țelor foarte d ure în cazul înregis trării eșecurilor. O
organizație este direct interesat ă ca toți angajații ei să considere aceste politici ca fiind
obligatorii. Cele m ai multe politici s e încadreaz ă în aceas tă categorie. Ele sunt foa rte clar
formulate la toate nive lurile. Cei m ai mulți angajați vor fi riguros controla ți prin astf el
de politici, definindu-le rolurile și responsabilit ățile în organiza ție.
Polit icile in format ive au scopul de a inform a citito rii. Nu poate fi vorba de
cerințe spe cifice, iar inte resații de aceste politici pot s ă se afle în interiorul organiza ției
sau prin tre partenerii ei.
Elem entelor com une tuturor politicilor de secu ritate, as tfel:
• domeniul d e aplica re: declararea d omeniului d e aplicare în seam nă prezentarea
intenției vizate de politic ă și ea va scoate în r elief și legăturile exis tente cu
întreaga do cumentație a organiza ției. Form ularea trebuie s ă fie scurt ă și se
plasează la începutul docum entului;
• declararea politicii top managerilor se include la începutul docum entului și are
dimensiunea unui singur paragraf, sp ecificând scopul gl obal al politicii;
• responsabilit ățile constituie con ținutul unei sec țiuni distincte și cuprind
persoanele implicate în asigurarea bunei func ționări a po liticii;
• consecințele: printr-o as tfel de formulare se prezin tă pierderile posibile dac ă
politica nu va fi respectat ă;
• monitor izarea: se speci fică modul în care se m onitorizeaz ă respectarea și
actualizarea continu ă a politicii;
• excepțiile: se menționează cazurile în care apar excep ții și modalitățile de tratare
a lor; de regul ă, au o durat ă limitată de aplicare, de la un ca z la altul.
50

Cap. 5 – Modele și program e de secu ritate
5.3.2. Standardele, normele și procedurile de s ecuritate
Pe nivelul inf erior politicilor se af lă trei elem ente de im plem entare a politicii:
standardele, norm ele și procedurile. Ele con țin detaliile politicii, cum ar fi posibilitățile
de im plementare, ce standarde și proceduri s ă fie într ebuințate. Ele s unt făcute publice la
nivel de organiza ție, prin m anuale, I ntranet, cărți, cursuri ș.a.
De cele m ai multe ori, standardele, norm ele și procedurile sunt tratate laolalt ă,
dar nu es te cea m ai inspirată idee, fiindcă tratarea s eparată a lor este justif icată de
următoarele argum ente:
• fiecare dintre ele serve ște unei func ții dif erite și are propria audien ță; chiar și
distribuția lor fizică este m ai lejeră;
• controalele securit ății pe linia conf idențialității sunt diferite pent ru fiecare tip de
politică;
• actualizarea și întreținerea politicii ar deveni m ai anevoioase, prin prisma
volum ului docum entației, dacă s-ar trata n ediferențiat.
Standardele
Standardele specific ă utilizarea anum itor tehnologii, într-o viziune uniform ă. De
regulă, standardele sunt obligatorii și sunt im plem entate la nivel d e unitate, to cmai
pentru asigurarea uniform ității. Elem entele principale ale unui standard de securitate
informațională sunt:
• scopul și aria de aplicare , prin care se ofer ă o descriere a in tenției standardulu i
(realizarea u nui tip d e server pe o anum ită platformă);
• roluri și responsabilit ăți la nivel de corpora ție pe linia de finirii, exec uției și
prom ovării standardului;
• standardele cadrului de baz ă, prin care sunt prezentate declara țiile de pe cel m ai
înalt nive l, aplicab ile platformelor și aplic ațiilor;
• standardele tehnologiei conțin declara țiile și descrierile aferente
(configura ția sistem ului sau serviciile nesolicitate de sistem );
• standardele administr ării reglem entează administrarea inițială și în tim pul
exploatării platform ei și aplic ațiilor.

Normele
Normele su nt oarecum asemănătoare standardelor, refe rindu-se la m etodologiile
sistem elor s ecurizate, n umai că ele sunt ac țiuni recom andate, nu obligatorii. Sunt m ult
mai flexibile decât s tandardele și iau în cons iderar e natu rile d iverse ale sistem elor
informaționale. E le spe cifică modalitățile de dezvoltare a sta ndardelor sau garanteaz ă
aderența la p rincipiile generale ale securit ății.
Elem entele princ ipale ale unei norm e de securitate inform ațională sunt:
• scopul și aria de aplicare , descriindu-se inten ția urmărită prin regula respectiv ă;
• roluri și responsabilit ăți pe linia definirii, execu ției și prom ovării norm ei;
• declarații de orientare : este un pro ces pas-cu -pas de prom ovare a tehnologiilor
respec tive;
• declarații de exploatare : se definesc obliga țiile zilnice, s ăptămânale sau lunare
pentru o corect ă exploatare a tehnologiei respective.

Procedurile
Procedurile prezint ă pașii detaliați ce trebu ie să fie parcur și pentru execu ția unei
activ ități. Se descriu ac țiunile concrete pe care trebuie s ă le efectueze p ersonalul. Prin
51

Securitatea siste melor informatice
ele se ofer ă cele m ai mici detalii pentru impl ementarea politicilor, standardelor și
norm elor. Uneori se folose ște în locu l aces tui con cept cel de practici.
5.3.3. Aspecte p ractice ale politicii de securitate informa țională
Realizarea propriei politici de securi tate presupune acoperirea m ai multor
domenii dif erite, iar conf orm standardului interna țional de definire a politicii de
securitate, ISO 17799, acestea sunt:
1. Planif icarea funcționării ne întrerupte a unității, cu obiectivul contracar ării
întrerupe rilor de ac tivitate ale un ității și ale proceselor princi pale ca efect al unor
acciden te majore s au dezastre.
2. Controlul accesului în sistem , cu obiectiv ele:
a. contro larea accesu lui la inform ații;
b. prevenirea accesulu i neautorizat în sistem ul inform ațional;
c. asigurarea p rotecției serviciilor p restate în rețea;
d. prevenirea accesulu i neautorizat la calculatoare;
e. detec tarea activităților n eautorizate;
f. asigurarea s ecurității inf ormațiilor când se folosesc com unicațiile mobile și
tele-activitățile.
3. Dezvoltarea și întreținerea sistem ului, cu obiectivele:
a. asigurarea s ecurității prin sistem ul operațional;
b. prevenirea pierderilor, modi ficărilor sau f olosirii inadecva te a datelor din
aplic ațiile sistemului;
c. protejarea confiden țialității, integrit ății și autenticității informațiilor;
d. asigurarea c ă proiec tele informatice și activitățile cola terale se derule ază
după proceduri sigure;
e. menținerea s ecurității sof tului și datelor din ap licațiile sistem ului.
4. Securitatea fizic ă și a m ediului, cu obiectivele:
a. prevenirea accesu lui n eautorizat, a distrugerilor și inte rferențelor cu
informațiile și celelalte com ponente ale sistem ului;
b. prevenirea pierd erilor, dis trugerilor sau com promite rilor va lorilo r
patrim oniale, precum și stopare a între ruperilor d e activ itate;
c. prevenirea com promiterii sau furtului de inform ații și al altor res urse
informaționale.
5. Maleab ilitatea , cu obiectivele:
a. preîn tâmpinarea în călcării cad rului juridic, a celui statutar, regulam entar sau
a oricărei obligații contractuale, precum și a cerințelor pe linia securit ății;
b. asigurarea m aleabilității siste mului la politicile și stan dardele
organizaționale pe linia s ecurității;
c. maximizarea eficien ței procesulu i de auditare a sistem ului și minimizarea
interferențelor cu acesta.
6. Securitatea personalului , cu obiectiv ele:
a. diminuarea riscurilor provocat e de factorul u man, fraud ă sau folosirea
ilega lă a componentelor sistem ului;
b. asigurarea c ă utilizatorii sunt con știenți și preocu pați de preîntâm pinarea sau
diminuarea am enințărilor asupra s ecurității informațiilor, susținând politica
de securitate a organiza ției pr in tot ce ea ce fac zi de zi;
c. minimizarea pagubelor provocate de incidentele ap ărute în sistem sau de
proasta func ționare a acestuia, precum și reținerea incidentelo r ca lecții
52

Cap. 5 – Modele și program e de secu ritate
pentru v iitor.
7. Organizarea securit ății, cu obiectivele:
a. asigurarea m anage mentului securit ății inf ormaționale în cadrul organiza ției;
b. asigurarea s ecurității componentelor folosite în prelucrarea inform ațiilor
organizației accesate de c ătre terți;
c. asigurarea s ecurității inf ormațiilor când respons abilitatea p relucrării ac estora
revine unei alte organiza ții, ca serviciu externalizat.
8. Managementul resurse lor informatice și al explo atării lor , cu obiectivele:
a. asigurarea func ționării corecte și sigure a com ponent elor sistemului
informatic;
b. minimizarea riscului c ăderii sis temului;
c. protejarea integrit ății softului și a inf ormațiilor;
d. asigura rea integr ității și disponibilit ății infor mațiilor pre lucrate și
comunicate;
e. asigurarea încrederii în infor mațiile din re țele și prote jarea inf rastru cturii
corespunz ătoare;
f. prevenirea pierderilor de valori patrimoniale și a într erupe rilor de ac tivita te;
g. prevenirea pierderilor, modific ărilor sau utiliz ărilor ilegale în schim burile de
informații cu alte o rganizații.
9. Clasificarea și controlarea valorilor patrimoniale , cu obiectivele:
a. menținerea unei pro tecții corespunz ătoare a valor ilor patrimoniale ale
organizației;
b. oferirea în crederii c ă valorile patrimoniale inf ormaționale au asigurat un
nivel de protec ție corespunz ător .
10. Politica de s ecuritate , cu obiectivele:
a. oferirea d e direcții manageriale;
b. sprijinirea a cțiunilor în treprinse pe p lanul secu rității informa ționale. Fiecare
dintre cele zece sec țiuni are în structur ă descrieri deta liate prin c are se
definește standardul ISO 17799.
5.3.4. Exemple de politici de securitate
De rem arcat că nu exist ă două organiza ții care să aibă politici de sec uritate
identice. Din analizarea m ai multor politic i de securita te se poate realiza o structur ă
generală a acestora, care va fi prezen tată în continuare.
Astfel, se începe cu un program de secu rizare a sis temelor inform aționale,
situație în care se folose ște con ceptul de politica pro gramului de securita te
informațională. Ea este acoperi șul sub care se vor realiza po litici tehnic e de securita te,
standarde și norm e de aplic are. Într-o un itate sunt necesa re po litici s peciale p entru
utiliza rea In terne tului și a e-m ail-ului, pentru accesarea de la dis tanță a sistem ului,
pentru m odurile de utilizare a unui sistem inform atic, pentru protec ția inf ormațiilor ș.a.
Așadar, se poate spune c ă printr-o politic ă a programului de securitate informațională se
definește p olitica d e ansam blu a organ izației în acest dom eniu, precu m și
responsabilit ățile din sistem . În a ceste condi ții, politicile ce se vor em ite sunt
componente esen țiale ale program ului și ele trebuie s ă răspundă la c inci ob iective
majore:
• prevenire : abilitatea de prevenire a accesu lui ne autorizat la valorile patrim oniale
ale org anizației;
• asigurare : asigurarea că politicile, standarde le și norm ele sunt în concordan ță cu
53

Securitatea siste melor informatice
intențiile organiza ției pe linia protej ării valorilor patr imoniale inf ormaționale;
• detectare : abilitatea de a detecta in trușii din sistem și de a lansa arsenalul de
contramăsuri corespunz ătoare ;
• investigare : capacitatea de a folosi tehn ici adecvate pentru ob ținerea
informațiilor despre pos ibilii in truși din sistem ;
• continuita te: posibilitatea de a garanta func ționarea neîntrerupt ă prin existența
unui plan de ac țiune în cazul dezastrelor, dezvoltat și testat în organiza ție.

În continuare, vom face o descriere succint ă a câtorva politici
Polit ica utilizării adecvate
O astfel de politic ă trebu ie să analizeze și să defineasc ă utilizare a
corespunz ătoare a resu rselo r inform atice din organiza ție. Utilizatorii trebuie s ă o
citească și sem neze atunci când î și expr imă intenția de deschidere a unui cont de
utilizator. R esponsabilit ățile utilizatorului pent ru protejarea inform ațiilor, m emorate în
conturile lor, trebuie s ă fie form ulate explicit, ca și nivelurile de utili zare a In ternetului
și e-m ail-ului. Politica, d e asem enea, trebu ie să răspundă următoarelor întreb ări:
• Trebuie ca utilizato rii să citească și copieze fi șiere care nu su nt ale lor, da r la care
au acces ?
• Trebuie ca utilizatorii s ă modi fice fișierele la care au drept de scriere, dar nu
sunt ale lor?
• Trebuie ca utilizatorii s ă facă copii ale fi șierelor de configurare a sistemului, în
scopul folosirii personale sau s ă le dea altora?
• Trebuie ca utilizatorii s ă foloseasc ă în com un conturile deschise?
• Trebuie ca utilizatorii s ă aibă drep tul de a face oricâte copii de pe softul care e
procurat cu licen ță de utilizare?

Polit ica privind conturile ut ilizatorilor
Politica vizeaz ă norm ele după care se form ulează cererile de deschidere a
conturilor din sistem și cum se efectueaz ă într eținerea lor. Este f oarte utilă în
organizațiile mari, în care utilizatorii au contur i în m ai multe sistem e. Este re comandată
modalita tea de citire și semnare a politicii de c ătre utiliza tor. O astf el de politic ă trebuie
să ofere răspunsuri la întreb ări de genul:
• Cine are au toritatea apro bării cererilor de noi conturi-utilizator?
• Cui (angaja ților, soțiilor/soților, rude lor, copiilor, vizita torilor ș.a.) îi este perm is
să foloseasc ă resursele infor matice ale organ izației?
• Poate un utilizato r să aibă mai multe contur i în ac elași sistem?
• Pot folosi utilizato rii în com un aceleași conturi?
• Care sunt drepturile și obligațiile u tilizatorilor?
• Când va fi dezactivat și arhivat un cont?

Polit ica acc esului de la distan ță
Prin ea se d efinesc m odalitățile de conectare de la distan ță la rețeaua i nternă a
organizației. Ea es te necesară în organiza țiile care au utilizator i și rețele d ispersate
geografic. P olitica trebu ie să răspundă următoarelor întreb ări:
• Cine poate s ă aibă dreptul acces ării de la distan ță?
54

Cap. 5 – Modele și program e de secu ritate
• Ce m etode sunt accep tate de organ izație (dia l-up, modem )?
• Este perm is accesu l din afară la rețeaua intern ă prin m odem?
• Se im pun a numite condiții, cum ar fi soft an tivirus și de secur itate, pentru
accesarea de la dis tanță?
• Pot alți membri a i familiei să acceseze re țeaua?
• Sunt restric ții privind tip ul datelor ce pot fi acces ate de la dis tanță?

Polit ica pro tecției infor mațiilor
Printr -o as tfel de politic ă se aduc la cunoștința utilizatorilo r co ndițiile
prelucrării, stocării și transmiterii infor mațiilor sensib ile. Scopul prin cipal al acestei
politici e ste asigura rea că informațiile sunt protejate, în m od corespunz ător, îm potriva
modificărilor sau dezv ăluirii neauto rizate. O astfel de politic ă trebuie se mnată de toți
angajații. Ea trebu ie să dea răspuns cel pu țin la u rmătoarele în trebări:
• Care sunt nivelurile de sensibilitate ale inform ațiilor?
• Cine poate s ă aibă acces la inform ațiile sens ibile?
• Cum sunt stocate și tran smise inf ormațiile sens ibile?
• Ce niveluri de inform ații sensib ile pot fi listate p e imprim ante public e?
• Cum trebuie să fie șterse informațiile sensibile de pe suportu ri (tocarea și arderea
hârtiilo r, curățirea discurilor ș.a.)?

Polit ica ges tionării firewall-urilor
Politica gestion ării firew all-urilor descrie m odul în care sunt gestionate hardul și
softul și cum sunt for mulate și aprobate ce rerile de schim bare din sis tem. O astfel de
politică trebuie să dea răspuns la urm ătoarele întreb ări:
• Cine are acces la s istem ele firewall?
• Cine trebuie s ă prim ească solicitările de efectuare a schim bărilor în conf igurația
firewall-urilor?
• Cine trebuie s ă aprobe efectuarea sch imbărilor în configura ția firewall-urilor?
• Cine poate s ă vadă norm ele și listele de acces la configura ția firewall-ului?
• Cât de des trebuie efectuat ă revizia firewal l-urilor?

Polit ica acc esului spec ial
Prin ea se definesc condi țiile formulării cer erilor de obținere a dre ptului d e
utilizare a u nor contu ri speciale din sistem (root , Adm inistra tor ș.a.). Ea trebuie s ă ofere
răspunsurile la urm ătoarele în trebări:
• Cine trebuie s ă prim ească cererile pentru acces s pecial?
• Cine trebuie s ă aprobe cererile p entru acces sp ecial?
• Care sunt regulile parolelor pent ru co nturile cu acces special?
• Cât de des se schim bă parole le?
• Care sun t motive le sau situațiile ce vor conduce la revoc area privilegiului de a
avea acces s pecial?

Politica de conectare la o re țea lo cală
Prin ea se definesc condi țiile adăugării de no i echipam ente la re țea și trebuie s ă
răspundă la întrebările:
• Cine poate instala o resurs ă nouă în rețea?
• Cine trebuie s ă aprobe in stalarea d e noi echip amente?
55

Securitatea siste melor informatice
• Cui trebu ie să i se aduc ă la cunoștință faptul că au fost adăugate no i ech ipamente
în rețea?
• Sunt unele restric ții pe linia securit ății în legătură cu echipam entele adăugate în
rețea?
Polit ica par tenerului d e afacer i
O astf el de politic ă stab ilește ce măsuri de secu ritate trebu ie să respecte fi ecare
companie parten eră. Ea este o politic ă cu atât m ai necesară acum când organiza țiile
oferă rețeaua lor inte rnă partene rilor, clien ților, furnizorilor. De și o astf el de politic ă
este diferit ă de la o organiza ție la alta, ea, totu și, trebu ie să ofere răspunsuri la
următoarele întreb ări:
• I se ce re fiecărei organiza ții să aibă scrisă o politică de securitate?
• Trebuie ca fiecare org anizație să aibă un f irewall sau alte echip amente de
securitate a perim etrului?
• Cum se vor realiza com unicațiile (linie închiriat ă, VPN prin Internet ș.a.)?
• Cum se vor for mula cererile pentru accesarea res urselo r partenerulu i?
Politica managementului parolelor
Deseori es te inim a politicilo r de s ecuritate dintr-o o rganizație. De regul ă, ea
reglem entează problem ele expir ării parolelor, ale lungim ii lor și altor ve rificări
necesare. Iat ă câtev a recom andări de surprins printr-o astfel de politic ă:
• lungim ea m inimă a unei parole trebuie s ă fie de cel pu țin opt carac tere;
• parola nu trebuie s ă fie un cuvânt din dic ționar;
• ea trebuie s ă fie o com binație de litere și sim boluri spec iale;
• parola trebu ie să expire dup ă o anum ită perioadă de tim p predeterm inată;
• parole le administratorilor de re țele trebu ie să expire m ult mai repede și trebuie
să fie mai lungi;
• parolele din organiza ție trebuie s ă difere de cele f olosite în alte sistem e;
• trebuie să fie păstrată o listă cu vechile parole pentru a preveni reutilizarea
(ultim ele șase parole nu trebuie s ă se repete);
• parolele utilizatorilor noi trebuie s ă fie unice și greu de ghicit.
Polit ica fo losirii Inte rnetului
Politica utiliz ării In terne tului, referit ă deseori prin acronim ul I-AUP ( Internet
Acceptable Use Policy ), este docu mentul prin care se d etaliază modurile în care
utiliza torii unei r ețele a organ izației trebuie s ă foloseasc ă serv iciul public Inte rnet.
Politica va descrie softul folosit pentru filtrare și blocare, cu scopul protej ării
organizației, dar și activitățile spec ifice pe rmise, precum și cine sunt beneficiarii aces tor
drepturi de acces și cui i se inte rzic. Ea este bine s ă se refere și la m etodele de
autentificare înain tea accesării Internetului în afara organiza ției/țării pent ru a preveni
personalul c ă folosește rețeaua o rganizației în sco puri ilega le.
Protocoalele specifice acoperite printr-o politic ă de utilizar e a Interne tului sunt
următoarele:
• Poșta electronic ă. Aceasta v izează toate form ele de e-m ail utilizate de o
organizație, definindu-se ceea ce se accept ă a se folosi, declarându-se softul
utiliza t pentru f iltrare și scanare. E a trebu ie să sublinieze cerin țele sp ecifice
referitoare la date le ce n u pot f i transmise prin e -mail și procedurile de urm at în
cazul în care un utilizator prim ește m esaje cu date de aces t gen. Prin aceast ă
politică treb uie prevăzute și măsurile luate în c azul ner espectării condițiilor de
utiliza re a e-mail-ului;
56

Cap. 5 – Modele și program e de secu ritate
• Web . Politica va p revedea cond ițiile specifice d e reali zare a traficului Web. Cât
timp WWW ( World W ide Web) folosește HTTP-ul (HyperText Transport
Protocol) pentru tr ansferarea informațiilor, prin politica de f ață vor fi defi nite
clar tipurile de site-uri W eb care sunt strict interzise, de genul celor porno,
jocurilor de noroc ș.a.;
• FTP. Permițând utilizatorilor accesul la FT P (File Transfer Proto col), se
deschide calea desc ărcării cu ușurință în sistem ul organiza ției a virușilor, dar și
transm iterea pe serverele din afara orgniza ției a unor inform ații confidențiale.
Pentru speciali știi organiza ției trebuie s ă se asigure u n nivel de acces FTP pentru
efectuarea u nor descărcări de fișiere în vede rea actualizării softului existent, dar
politica de f ață trebuie să stabilească autorizările de utiliza re FTP;
• Chat/IRC . IRC-ul (Internet Relay Chat) este mai puțin folosit în mediul
organizațional față de alte program e de chat (d ialogu ri Intern et), c um sunt
Yahoo, ICQ și AOL Ins tant Messen ger (AIM). As tfel de program e sunt foarte
riscante pentru organizație deo arece informațiile sunt transm ise unor servere
extern e fără o protecție corespunz ătoare. Politica de fa ță trebu ie să stabilească
în ce măsură produsele de tip chat servesc intereselor o rganizației.

În general, prin politica Inte rnet se face referi re la următoarele aspecte:
• acceptarea f olosirii și condițiile d e accept pen tru:
o descărcările de f ișiere;
o newsgroup- uri;
o comunicarea datelor sensibile;
o tipur ile de fișiere atașate;
o dimensiunea mesajelor;
o softul f ără licență;
o pachete d e aplicații soft neaprobate;
o exportul infor mațiilor sensibile;
o protecția fișierelor;
o protecția împotriva viru șilor;
• manage mentul schim bărilor din s istem;
• practicile de stocare a datelo r;
• siguranță și disponibilitate;
• protecția inf ormațiilor p rin cla sificarea lor ;
• contro lul ac cesulu i;
• e-mail-ul și datele ce pot fi re ținute/stocate în unitate;
• monitoriz area;
• excepțiile și amenda mentele politicii Internet.

57

6 Securit atea rețelelor de calculatoare
6.1 Mecanisme utilizate în securizarea re țelelor
Dynamic Host Configu ration Protocol – D HCP – este o modalita te rapidă și
simplă de a asigna adrese IP unui num ăr mare de clien ți.
Există nevoia de a defini un interval de IP-uri valide și de a le asigna autom at
clienților din re țea; de asem enea, a ap ărut nevoia de a defini o durata de viata unui IP .
6.1.1 Functionarea DHCP
DHCP implementeaz ă un model client-server și un agen t cu ro l de releu
(relay agent). Acest agent gestion ează inte racțiunea dintre clien ți și server. Deoarece
clien tul este princip alul parten er de com unicație în aceast ă situație, el inițiază toate
sesiunile cu serverul , lucru care are loc în faza de bootare. DHCP are urm ătoarele
facilități:
• suportă alocarea dinam ică;
• suportă alocarea s tatică;
• repar tizează adrese;
• suporta repartizarea persistenta
• reintegre ază repartițiile e xpira te.

În esență, DHCP este îns ărcinat cu m anipularea a dou ă seturi de date: reparti țiile
(IP-urile a locate ) și fondul de adrese (IP-uri disponibile). Reparti țiile sunt alocate
clienților confor m unei proceduri, care este destul de sim plă.

Cum primesc clien ții numere IP
Iată modul de func ționare a DHCP di n acest pun ct de vedere:
1. Clientul cere un IP printr-o difuzare de tip DhcpDiscover . Dacă clien tul are o
repartiție pe rsistentă, poate cere in ițial acea reparti ție.
2. Serverul alege un IP din fondul de adrese și întoarce un p achet DhcpOffer cu
un IP disponibil ata șat.
3. În cazu l în care clien tul dorește mai m ulte oferte IP, o va alege pe prim a sau
pe cea cu reparti ția dorită.
4. Clientu l difuzează un pachet DhcpRequest cu un identificator pentru un server
și trece în a ștepta re
5. Fiecare s erver care analizeaz ă pachetul și nu își dete ctează identif icatorul va
ignora pachetul. Dup ă ce serverul cu identificatorul co respu nzător p rimește pachetu l, el
va trim ite un DhcpAck (sau DhcpNak – daca IP-ul cerut este deja alocat, ceea ce
înseam nă că repartiția a expirat).
6. După ce clien tul primește pachetul DhcpAck, el începe s ă foloseas că IP-u l
alocat. În cazul în care prim ește DhcpNak, va rula de la început secven ța de cerere a
unui IP. Dac ă IP-u l rep rezintă o problem a din punct de vede re al clientului, acesta
trimite un pa chet DhcpDeclin e către server și reia secven ța de cerere a unui IP.

58

Cap. 6 – Secu ritatea rețelelor de calculat oare
Funcționarea într-o re țea LAN :
În etap a de lansare a s istem ului d e ope rare se emite o c erere de a locare IP
însoțită de adresa MAC a em ițătorului către toată rețeaua va prim i un răspuns de la
prim ul server DHCP î mpreuna cu o adresa IP, m asca, gateway-ul și serverele DNS.
Dacă DHCP alocă unui utilizator nou o adres ă IP nerutabil ă cu care nu poate
face m ai nim ic. Trebuie luat leg ătura cu adm inistratorul de sistem și mem orată adresa
sa într-un tabel NAT.
NAT – Netw orking Addressing Table – tabel de adresare în re țea – este o
soluție ca re perm ite ca în zona re țelei locale s ă se utilizeze exclus iv adrese p rivate.
Routerul converte ște toate c ererile modif icând headeru l care înso țește pachetul de da te
astfel în cât acestea s ă apară originate de c ătre rou ter și nu de sistem ul din spatele lui.
Avantaje :
• există o singura adresa IP public ă și se pot deservi oricât e adrese IP p rivate;
• oferă protecție pentru flood – ignora inform ațiile care nu ad resează o adresă
din tabela de NAT-are;
• toți cei d in rețeaua local ă nu există pentru re țeaua Internet
• un sistem local nu poate oferi un serviciu în afara zonei locale, cum ar fi un
setarea unui server

Se poate de fini un DMZ – zona dem ilitariz ată – astfel încâz toate sis temele să
prim ească informații din rețeaua W AN indiferent de con ținutul tabe lei de NAT-are.
În cazul în care într-un L AN există 2 sau m ai multe sistem e cu acelea și adrese IP
routerul le ignor ă cererile ceea înseamn ă ca nu va func ționa nici unul dintre sistem e.

6.1.2 No țiuni privind securizarea re țelei
Firewall-urile și serverele proxy, ca și criptarea și auten tificarea, sun t proiectate
pentru asigurarea securit ății datelor. Motiva ția este simp lă: dacă se dispune de o
conexiune la Internet, teoretic, oricine, oriunde s-ar afla în lum e, poate accesa re țeaua
(în anum ite condiții, evident). Dac ă nu exist ă nici un m ecanism de s ecuritate, orice
persoană care are acces la Internet, de oriunde din lum e, poate folosi TCP/IP pentru a
trece prin gateway-ul re țelei locale, c ătre orice mașina d in rețea.
Ideea este d e a proteja dou ă lucru ri: date le stocate în re țea și ech ipamentele
hardware, conectate la re țea. Intrușii sau ha ckerii pot intr a în rețea și pot modifica orice,
pot accesa o rice fel d e date sau chiar pot cauza d eteriorări fizice ale sist emel or.
Există multe m oduri în care intru șii pot accesa o re țea:
• exploatând bre șe de securitate din sistem ele de operare și aplicații;
• pin "inginerie social ă", care cons tă în convingerea cuiva, sub diferite
pretexte, s ă com unice num e și parole asociate.

Rolul unui firew all este să prevină pătrunderile neautoriz ate.
O alta problem ă de securitate : blocarea serviciu lui (den ial of service). Are loc
când hackerii nu v ă perm it folosirea norm ală a propriilor s istem e. Blocare se rviciului
are m ulte form e. Un exe mplu tipic este inundarea unui serviciu (gen email), adic ă acelu i
servic iului îi sunt tr imise atât de multe date înc ât devine su praîncărcat și se blocheaz ă
sau ruleaz ă în buclă infinită.
Există mai multe m odalități de p rotejare a re țelei.
59

Securitatea siste melor informatice
O metodă ar fi anonim atul: dacă nimeni nu știe nimic despre re țeaua dv, atunci
datele sunt în siguran ță. Însă este o f alsă securitate, pentru c ă exis ta o m ulțime de
moduri prin care se poate afla ce se afl ă pe Internet.
Cea m ai răspândită formă de securitate se num ește securitatea la nive l de gazdă
(host se curity) și se ref eră la securizarea s eparată a fiecărei mașini din r ețea. Vă bazați
pe ace st tip de secu ritate când seta ți perm isiunile de acces în Windows sau perm isiunile
UNIX pentru fi șiere și directoare. Este suficient îns ă o singură breșă pentru ca întreaga
rețea să fie deschis ă hackerilor. De asem enea, pentru c ă securitatea la nivel de gazdă nu
este aplicat ă egal tutu ror m așinilor, p ot fi exploatate serv iciile unei m așini slab prote jate
pentru a accesa o m așină cu securitate putern ica.

6.1.3 Firew alls
Un firewall este un computer, un router sau or ice alt dispozitiv de com unicație
care con trolează fluxul de date între re țele. În general, u n firewall e ste prim a linie
împotriva atacurilor d in afara re țelei.
Poate fi implementa t:
• hardw are – este un router special cu filtre adi ționale și capacități de
manage ment;
• softw are – rulează pe un sistem de operare oarecare și transformă un PC într-
un firewall.

Conceptual, dispozitivele firewall pot ac ționa la :
• nivelul "Retea" – sunt de obicei foarte rapide. Ele controleaz ă traficu l pe b aza
adrese lor su rsă și destinație, precum și a num erelor de port;
• nivelul "Aplica ție" – nu perm it traf icul direc t între rețele. De obicei ele s unt
computere care ruleaz ă servere p roxy. Acestea pot im plem enta proceduri de
securitate specifice. De
exem plu, se poate configura
așa încât s ă perm ită
funcționarea num ai a
protocolul de em ail.

Din cadru l aplicațiilor firewall ce
oferă o protecție bună la atacu rile tipice
din rețea putem aminti de Zone Alarm ,
Agnitum Outpost și Firewall-urile
integrate din W indows XP și unele
variante din Linux.
De exem plu în W indows XP se
deschide icoana ce reprezint ă
conexiunea curent ă spre Intern et și se
activ ează firewall-ul, a șa cum se poate
observa în figura 6.1.
Din opțiunea Settings se pot
configura serviciile ce pot fi accesate de
utilizatorii de pe Internet.
Fig. 6. 1: Activarea firewall -ului di n WindowsXP
60

Cap. 6 – Secu ritatea rețelelor de calculat oare

Fig. 6.2: Serviciile ce pot fi accesate prin Firewall și suportul pentr u mesaje ICMP

Rolul fir ewall-ur ilor
Tipul de se curitate importan t este securita tea la nive l de rețea. Presupune
securizarea tuturo r punctelo r de acces la re țea. C omponenta cheia este acest firewall – o
mașină care se com portă ca o inte rfață între rețea și Internet, având do ar preocup area
securității. Un f irewall are m ai multe rolur i:
• perm ite accesul la re țea numai din an umite locații;
• interzice utilizato rilor ne autor izați să obțină acces la rețea;
• forțează traficul dinspre re țea spre Intern et să treacă prin anumite pun cte
securizate;
• previne atacurile de ti pul blocar ea se rviciului;
• impune restric ții asup ra acțiunilor pe care un u tilizator de pe Interne t le poate
face în rețea.

Conceptul de firewall presupune ca nalizarea întregului trafic c ătre și dinspre
rețea prin unul sau m ai multe puncte care sunt configurate pentru a controla accesul și
servic iile.

Utiliz area firew all-urilo r
Multe persoane consider ă un firewall ca fiind o singur ă mașină, ceea ce uneori
este adev ărat. Există mașini dedicate doar aces tei funcții. Totuși, termenul f irewall se
referă mai mult la f uncțiile îndeplinite decâ t la un dispoz itiv f izic. Un f irewall p oate
consta d in mai multe mașini care co nlucrează, sau pot fi folosite m ai multe program e cu
funcție de firewall. Fi rewall-urile pot s ă îndeplineasc ă și alte func ții decâ t simpla
monitorizare a accesu lui la rețea.
61

Securitatea siste melor informatice
Firewall-urile nu sunt invincibile. E le sunt vulnerabile din cauza defectelor de
proiectare, sau a im plem entării (care necesit ă timp și bani pentru instalare și
configurare).
Un firewall ofer ă un singur punct de im plem entare a securit ății din rețea, deci
eventualele schim bări se fac pe o singur ă mașină și nu pe toate celelalte d in rețea (de ex,
se poate in terzice accesu l FTP anonim ). Firewall -urile pot ap lica po litici de securitate la
nivelu l întregii rețele, in terzicând de exem plu accesul la anumite servic ii de pe Internet
pentru toți utiliza torii din re țea.
Totuși, orice firewall ar e lim itări. Ele sunt utile doar pentru conexiunea re țea-
Internet. Ele nu opresc persoanele din re țea să facă orice vor altor m așini din rețea.
Ele nu pot proteja îm potriva pătrunderilor neau torizate da că aveți alte conexiuni,
ca un calculator care este conectat printr- un m odem la Internet prin interm ediul unui
ISP (conexiune care nu trece printr-un firewall). Un fire wall nu poa te preveni m ulte
problem e distribuite prin Internet, cum sunt viru șii și caii tro ieni.
Există două moduri principale de im plem entare:
• construirea unui firewall propriu din servicii de re țea elem entare.
• cumpărarea unui produs com ercial.

La instalarea unui firewall, m anual sau comercial, se pot controla m ai multe
fațete, depinde de administrator dac ă dorește sau nu activ area lor. U nele din aceste
fațete ar fi:
• serverele proxy
• filtrele de pa chete.

6.1.4 Proxy -uri
Soluție care perm ite accesarea informa ției de dup ă un router logic. Reprezint ă un
sistem de in termediere a tr aficulu i, adică primește cererile, identific ă răspunsurile, le
memorează și le tr imite solic itantului.
Posedă o adresa IP public ă și una privat ă – deci este un sistem cu dou ă placi de
rețea. Avantajul es te CACHE-ul folosit de pr oxy. Fiecare pagin ă are o dat ă și o oră
de expirare.
De asem enea se po ate folosi un prox y tran sparen t în sensu l că cererea din router
este redirectat ă către un proxy.

Serverele proxy
Un astfel d e server es te plasat între re țea și Internet și acceptă cereri pentru un
serviciu, le analizeaz ă și le trim ite m ai departe, în funcție de perm isiuni. Serviciul de
proxy ofer ă o conexiun e cu rol de în locuitor p entru acel serv iciu, motiv pentru care se
comportă ca un intermediar (proxy). Serverul proxy se plaseaz ă la m ijloc, ascu nde
anum ite inf ormații, dar p ermite desfășurare a serv iciulu i prin el.
Ideea este c ă, fără proxy, adresa IP a m așinii gazdă este trim isă în
pachete, prin Internet. Hacker ii pot determ ina dim ensiunea re țelei, d e exem plu. Un
server proxy schim bă adresa IP c u adresa lui și folosește o tabel ă internă pentru a
redirecta trafic ul care so sește și care pleac ă spre destina țiile corec te. Pen tru exterior va
fi vizibilă o singură adresă IP (a serverului proxy).
62

Cap. 6 – Secu ritatea rețelelor de calculat oare
Serverele proxy sunt întotdeauna im plem entate prin software și nu trebuie s ă
facă parte dintr-un pachet de firewall, de și sunt de obicei incluse.
Windows XP suport ă împărțirea conexiunii la Internet (Internet Sharing)
folosind op țiunea Netw ork Setup W izard din Start/ Settings/Network Connections. Îns ă
soluția aceasta nu func ționează întotdeauna.
O soluție mult m ai bună pentru un server proxy este aplica ția software
FreeProxy ( www.handc raftedsoftware.org )

Se configureaz ă programul
prin crearea unui serviciu IP în care
se alege placa de re țea ce face
legătura la Internet. Sistem ul pe
care func ționează aceas tă aplicație
are două plăci de re țea și se
comportă ca un gateway.

Fig. 6.3: Interfața aplicației FreePro xy

Fig. 6.4: Setarea unui gateway

Opțiunea Perm issions ofer ă selecția unui serviciu Proxy și a drepturilor ce pot fi
oferite diver șilor utilizatori. Pornirea serverului P roxy se execut ă prin selectarea op țiunii
Start/Stop.
Odată executat ă, aplicația Proxy r ămâne rezident ă în mem orie și pornește
autom at la deschiderea calculatorului și inițializarea sistem ului de operare.
Pe celelalte calculatoare, care au acces prin acest proxy server trebuie realizate
câteva set ări. Astfel din Control Panel avem Internet Options, Connections și apo i Lan
Settings unde trebuie bif ată opțiunea de folosire a unui server Proxy și introdus ă adresa
IP îm preuna cu portu l de acces al acestuia.
63

Securitatea siste melor informatice

6.1.5 Filtrele de pachete
Un astfel de sistem perm ite pachetelo r să
treacă din rețea către Interne t și invers, dar selectiv.
Pachetele s unt iden tificate dup ă tipul aplica ției care
le-a cons truit (une le inf ormații se afla în antet).
Antetul unui pachet TCP/IP con ține adrese le IP surs ă
și destinație, porturile s ursă și destinație și așa mai
departe. Dac ă se decide blocarea o ricărui trafic FTP,
de exem plu, software-ul de filtrare a pachetelor va
detecta toate pachetele care au num ărul de port 20 sau
21 și le v a interzice tre cerea.
Unii cred c ă se poate ocoli un sistem de
filtrare schimbând num ărul portului, luc ru posib il
într-o oare care măsura. Totu și, deo arece softw are-ul
de filtrare e ste reziden t în rețeaua d v, el poate d etermina către ce interfa ță se îndreapt ă
pachetu l și de unde provine. În consecin ță, chiar dac ă num erele de port TCP sunt
diferite, sof tware-ul d e filtrare poa te uneori s ă blocheze co rect traficul.
Se poate folosi software-ul de filtrare a pachetelor în m ai multe m oduri. Cel m ai
obișnuit, se blocheaz ă un serviciu, gen FTP sau Telnet. Se pot desem na de asem enea
mașini care trebu iesc împiedicate sau l ăsate să acceseze re țeaua – de exem plu, dacă se
constată ca o anum ită rețea a fost s ursa uno r problem e, se poate com anda software-ul
așa încât să respingă orice pachet d e la acea re țea. În unele cazuri se pot bloca to ate
serviciile, sau se poate perm ite num ai anum itor s ervicii, gen e-m ail, se tr eacă prin filtru. Fig. 6. 5: Pornirea serverul ui Proxy
6.2 Rețele VPN
O soluție alternativ ă o constitu ie o r ețea VPN (Virtua l Priv ate Network ).
Rețelele VPN sunt bazate pe o infrastructur ă accesibil ă în mod public, cum ar fi
Intern etul sau rețeaua de telefonie.
Ele prezint ă diferite f orme de criptare și au de obicei procedee so lide de
autentificare a utilizatorului.
În esență, VPN este o fo rmă de WAN; diferen ța este utiliza rea de rețele publ ice
mai degrabă decât linii p rivate (în chiriate). O re țea VPN are acelea și serv icii Intranet ca
și WAN, dar suport ă și servicii de acces la distan ță (liniile închiriate, d in cazul WAN,
nu se extind de obicei la case particulare și nu se aplic ă în ca zul călătoriilo r).
Un utiliz ator VPN se poate co necta prin tr-un ISP (Internet Service
Provider) în m odul obișnuit, elim inând costu rile leg ate de accesu l la distan te m ari.
Utiliz atorul poate ini ția o cerere "tunnel" c ătre serverul destinație. Serverul
autentif ică utilizatorul și creează celalalt cap ăt al "tunelu lui".
Softul VPN crip tează datele, le for matează în pachete IP (pe ntru com patibilita te
Intern et) și le trim ite prin "tunel", unde sunt dec riptate la ce lalalt c apăt.
Exista câteva "tunneling protocol":
• Point-to-Point Tunnelin g Protocol (PPTP)
• Layer 2 Tunneling Protocol (L2TP)
• IP security (IPsec)

64

Cap. 6 – Secu ritatea rețelelor de calculat oare
6.2.1 Point-to-P oint Tunneling Proto col (PPTP)
Este rezultatul cooper ării dintre m ai multe firm e (3Com , US Robotics, Microsoft
etc). Utilizatorii pot s ă se conectez e telef onic (d ial-in) la f urnizoru l de servic ii Internet
(ISP) loca l și apoi să se conecteze securizat pr intr-un tunel virtual la re țeaua corpora ției
lor.
PPTP este un protocol orientat pe modelul clien t/server , proiectat special
pentru asigurarea de tuneluri virtuale prin re țele IP utilizând PPP și nivelul 2. PPTP
suportă mai multe conexiuni PPP pr intr-un singur tunel PPTP . Aceste tuneluri
virtuale sunt denum ite în general rețele vir tuale priva te (VPN – Virtua l Priv ate
Networks).

Fig. 6. 6: Structura PPTP
Cea m ai uzuală implem entare este de a oferi serviciul prin un punct de
prezență (Point of Presence – POP ) dial-up .
După ce conexiunea fizic ă a fost stabilit ă și utiliza torul autentif icat, PPTP se
bazează pe PPP pentru crearea diagram elor. Apoi PPTP încapsuleaz ă pachetele P PP
pentru trans misia prin tu nelul IP.

Canalul de control separat
PPTP folose ște două canale pentru a suporta conexiunea:
• un canal de date
• un canal de control – ru lează peste legătura TCP, portul 1723. Acest canal
conține inf ormații referitoare la starea leg ăturii și mesaje de m anage ment.
Mesajele de m anage ment sunt res ponsabile cu stabilirea, gestionarea și
închide rea tunelulu i PPTP.

Suportul pentru mai multe protocoale
O facilitate interesanta a PPTP este suportul pentru protocoale gen NetBEUI,
IPX sau AppleTalk. Deoarece PPT P este un protocol de n ivelul 2, el in clude și un antet
de m ediu de transm isie care îi perm ite să opereze prin Ethernet sau conexiuni PPP.

Autentifica rea și securitatea date lor
Cripta rea și autentif icarea date lor nu fac parte d in PPTP. Acesta se b azează pe
funcțiile protocolul PPP.
Tipuri de tuneluri PPTP
Calculatorul utilizatorului va determina cap ătul tunelulu i:
• fie un server de acces de la distan ță (Remote Access Ser ver – RAS) al
ISP-ului ,
65

Securitatea siste melor informatice
• fie chiar calculato rul res pectiv.
Există tuneluri voluntare și tuneluri obliga torii.
Într-un tunel voluntar, utilizatorul ini țiază conexiunea PPTP c ătre un calculato r
din corpora ție. În acest caz, I SP nu trebuie decât s ă asigure servicii IP elem entare. Dac ă
ISP asigur ă un server R AS, clientul are nevoie doa r de PPP. În orice caz, utilizatorul nu
are con trol asupra tune lului.
În cazul tun elurilor ob ligatorii, avantaju l este că folosirea I nterne tului poate f i
controlată de corpora ții; de asem enea, au capacitatea d e a grupa traficul, m ai mulți
clienți PPP putând fi grupa ți într-o singur ă conexiune PPTP c ătre Intranetul com paniei.
6.2.2 Layer 2 Tunneling Protocol (L2 TP)
Este asem ănător cu PPTP, com binând PPTP cu protocolul Layer 2 Forw arding
(L2F) de la firma Cisco. Avantaju l este că poate fi com patibil cu alte m edii de transf er,
precum ATM, și cu a lte rețele pe baza de pachete, gen X.25.
L2F
La fel ca și PPTP, L2F a folosit P PP ca suport pentru asigurarea conexiunii
inițiale și a servic iilor precum autentif icarea. S pre deosebir e de PPTP, L2F a f olosit
Terminal Access Contro ller Access -Control Sys tem (TACACS) – protocol brevetat de
Cisco, care ofer ă auten tificare, au torizare și adm inistrare.
L2F folose ște și el definiții de conexiuni tunel. S uportă și un nivel suplim entar
de auten tificare. L2F ofer ă autentificare la nivel de gateway sau firewall.
Suportul pentru IPsec
IPsec difer ă de celelalte servicii pentru c ă este o specifica ție deschis ă care
suportă nu n umai autentificarea, dar și secu ritate a.
Ca și PPTP, L2TP apeleaz ă la PPP pentru stabilirea conexiunii. L2TP se
așteaptă ca PPP s ă stabilească conexiunea fiz ică, să facă autentificarea ini țială, să
creez e datagramele și, după terminarea sesiu nii, să înch idă conexiunea . Dar L2TP
va com unica cu celalalt nod pentru a determ ina dacă nodul care face apelu l este
autorizat și dacă punctul final dore ște să suporte conexiune L2TP. Dac ă nu, sesiunea
este închis ă.
Ca și PPTP, L2TP define ște două tipuri de m esaje:
• de date
• de control – folosite pentru a stabili și menține tunelu l virtual și pen tru a
contro la tran smisia și recepția datelor.

Spre deoseb ire d e PPTP, care necesit ă două canale, L2TP com bină canalele de
date și de control într-un si ngur flux. În tr-o rețea IP, acest lucru se pre zintă sub form a
împachetării datelo r și a m esajelor în tr-o da tagrama UDP.
Datele utile constau în e sență din pachetul PPP, m inus ele mentele de încadrare
specifice m ediului de transm isie. Deoar ece L2T P este de nivel 2, el trebuie s ă încludă
un antet pentru m ediul de transm isie cu scopul de a-i indica nivelului superior m odul î n
care trebu ie transm is pachetu l. Aceasta tr ansmisie poate avea lo c pe Ethernet, re țele
frame relay , X.25, ATM , sau prin leg ătură PPP inițială.
Pentru reducerea congestion ării rețelei, L2TP suport ă controlul fluxului .
Acesta este implem entat într-un concentra tor de acces L2TP (L2TP Acc ess
Concentrator – LAC), care func ționează ca serv er de acces la re țea, și un server L2 TP
de acces la re țea (L2TP Network Access Server – LN S), care are rolul de a asigura
66

Cap. 6 – Secu ritatea rețelelor de calculat oare
accesu l la rețeaua co rporației. Mes ajele de control con țin inf ormații privind ra tele de
transm isie și param etrii zonelor tampon. Comunicându- și recip roc aceste inform ații,
serverele L AC și LNS pot controla fluxul de date.

Fig. 7: Struc tura L2TP

O altă metodă pentru reducerea înc ărcării rețelei es te co mpresia anteturilo r
pachetelor.
L2TP suport ă tot două clase de conexiuni, într-o m anieră asemănătoare cu
PPTP: tuneluri voluntare și obligato rii.
6.2.3 IPsec
Deoarece protocolu l TCP/IP nu ofer ă nici un fel de protec ție, au apărut mai
multe m etode de a um ple aces t gol. De aceea, s -a lucrat la u n set de protocoale num ite
IPsec. Docum entele pentru aces te standard e au fost gândite pentru standardul IPv 6
(publicate în 1995), dar au fost modificate pentru adaptarea lor la IP v4. Arhitectura
IPSec este com pusă dintr-un set de protocoale pentru autentificarea pachetelor (AH),
criptarea și/sau au tentificarea pachetelo r (ES P) și mecanism e pentru stabilirea
param etrilor conexiunilor (SA-Securi ty Associations) folosind IKE.
IPSec folose ște un algo ritm pentru schim barea cheilo r între părți, num it Interne t
Key Exchange (IKE), care perm ite calcu latoarelor s ă negocieze o cheie de sesiune în
mod securizat, folosind protocoa lele ISAKMP pentru crearea de Secu rity Associa tions
și OAKLEY bazat pe algoritm ul Diffie-Hellman pentru s chimbarea cheilo r între cele
două părți. IKE se poate folosi în conjunc ție cu Kerberos, cert ificate X.509v3 sau chei
preshared .
Authentication Heade r (AH) este ata șat fiecărei da tagram e și conține
semnătura sub for mă de hash HMAC cu MD5 sau HMAC cu SHA-1.
Encapsulated Security Payload (ESP) crip tează conținutul pachetelor în dou ă
moduri: transport (protejeaz ă doar con ținutul pachetului, nu și heade r-ul) sau tu nel
(întreg pach etul es te criptat). ESP folose ște de asem enea hash-uri HMAC cu MD5 sau
HMAC cu SHA-1 pentru autentificare și DES-CBC pentru criptare.

Regulile de baz ă pentr u securiz area traficulu i cu IPSec
• Crearea unei h ărți a traficului în re țea ce include traficul care trebuie perm is sau
blocat, punctele surs ă destinație și informațiile d espre pro tocoalele f olosite.
• Se creeaz ă filtre care corespund traficului de re țea identificat anterior

67

7. Tehnici, servicii și soluții de securit ate pentru
Intranet-uri și port aluri
7.1. Introduc ere
Cele m ai multe aplic ații de secu ritate pot f i privite în term eni de servic ii
generale pe care le pot oferi. Aplica țiile de securitate sunt instalate pentru a oferi un
nivel de baz ă al secu rității sau func ții care îm bunătățesc s ecuritatea opera țională dintr-o
organizație.
Între serviciile de securitate sunt cuprinse și următoarele:
• auditarea – un m ecanism (de obicei un s istem de jurnalizare) care
înreg istrează evenim entele care pot s ă includă accesu l utilizatorilor și al
fișierelor;
• autentif icarea – un m ecanism prin care se id entifică în mod pozitiv un
utilizator prin cererea unor date de id entificare (parolă, smart card, am prente,
date biom etrice, etc.);
• autorizarea – resursele pe care un utilizator le poate accesa dup ă ce a fost
autentif icat;
• disponibilitatea – disponibilitatea unei resurse. Un atac îm potriva
disponibilit ății unui sistem este cunoscut su b num ele de D enial of Service
(DoS);
• confidențialitatea – protecția informa țiilor p rivate sau sens ibile;
• integritate – protecția datelor îm potriv a modificărilor neau torizate. Acest
lucru es te important m ai ales în in stituțiile financiare;
• nerepudiere – un mecanism de prev enire a frau delor p rin care se dovede ște
că un utilizator a executat o anum ită acțiune; To ate aces te aplica ții o bțin
nivelul dorit de protec ție prin utilizarea criptograf iei.

7.2. Criptografia
Criptogr afia este arta și știința de a ține secr ete datele, pr in utilizare a criptării
folosind un algor itm specif ic. Un algoritm (num it și cifru ) este un proces m atematic sau
o serie de func ții prin care se am estecă datele. Cei m ai mulți algoritm i utilizea ză chei,
astfel încâ t algor itmii pot să nu fie unici pentru o tranzac ție, iar detaliile algo ritmilor
utilizați să nu fie secrete.
Term enul cheie se referă la inf ormația neces ară pen tru a crip ta sau decrip ta
datele. Secu ritatea un ei chei es te deseori d iscutată în term eni de lungim e sau biți ai
acesteia, d ar o cheie de m ărime mare nu garanteaz ă securitatea de ansam blu a
sistem ului.
Există două tipuri generale de cript ografie, definite în func ție de tipul d e cheie
utiliza t: criptograf ia cu cheie secr etă și criptog rafia cu cheie public ă. Cele m ai multe
aplic ații utilizeaz ă principiile unuia sau a am belor tipuri de criptografie.
68

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
7.2.1. Criptografia cu cheie secret ă
Criptarea cu cheie secret ă, cunoscut ă sub num ele de cripta re s imetrică,
utilizea ză o singură cheie pentru a cripta sau decripta datele. Securitate a algoritm ului cu
cheie s ecretă este deseori legat ă de cât de bine este p ăstrată sau distribuit ă cheia secre tă.
Algoritm ii de chei secrete sunt îm părțiți în algoritmi de bloc (block cipher), care
proceseaz ă datele în b locuri măsurate la un m oment dat, sau algoritmi de șiruri (stream
cipher) , care proceseaz ă la un m oment dat un singur byt e. Algoritm ii de bloc exceleaz ă
în criptarea datelo r de lungim e fixă, în tim p ce algoritm ii de stream -uri sunt utiliza ți
îndeoseb i la crip tarea stream-urilor a leatoare de date, precu m traf icul de rețea în tre două
routere.
Între avantajele crip tării cu cheie sim etrică se n umără rapiditatea procesului de
criptare și simplitatea u tilizării aces tuia. Dezav antajele sun t legate de distribuirea în
siguranță a cheii s ecrete și de m anagem entului cheilor.
Printr e exe mplele ce le mai întâlnite de algo ritmi cu che ie simetrică cu c riptare în
bloc se num ără Data Encryption Standard (DES), International D ata Encryption
Algorithm (IDEA), CAST-128 (num it după inventato rii acestu ia – Carlisle, Ada ms,
Stafford, Tavares) și Blowfish. Printre algor itmii de crip tare a stream -urilor se numără
Ron 's Cipher 4 (RC4) și Software-Op timized Enc ryption Algo rithm (SEAL).
7.2.2. Criptografia cu cheie public ă
Criptografia cu cheie public ă sau criptografia as imetrică utilizează o pereche de
chei. Una d intre aceste chei, ch eia public ă, este distribuit ă și pub licată, în tim p ce
cealaltă cheie trebuie ținută secretă. Dată fiind numai cheia public ă, este imposibil să se
determ ine cheia s ecretă. Chi ar și cu cel m ai modern hardware , algoritm ii de generare a
cheilo r publice utilizeaz ă intensiv procesorul.
Datorită acestei problem e legate de rapiditatea algoritm ului, aceștia nu sunt
utilizați pen tru a cr ipta datele b rute. În schi mb, datele sunt crip tate cu un algoritm
simetric. Multe din tehnol ogiile prezentate utilizeaz ă o com binație de a lgoritmi cu cheie
publică și secretă în care crip tograf ia cu cheia public ă este utilizată pentru a secu riza
cheia sim etrică care este utiliz ată la crip tarea datelor brute. O cheie simetric ă care a fost
securizată utilizând un algoritm cu cheie public ă se num ește plic dig ital.
Cheile p rivate corespun zătoare che ilor pub lice trebu ie întotdeauna se curizate.
Unul dintre m ecanism ele utilizate pentru stocarea cheii p rivate este smart card -ul – un
dispozitiv electron ic asemănător unei c ărți de credit. Un smart card criptog rafic are
abilita tea de a gen era și stoca chei în el în suși, asigu rându -se astfel faptul c ă cheia
privată nu este expus ă către mașina locală. Smart ca rd-ur ile pot f i vulnerabile la atacuri,
dar oferă o mult m ai mare secu ritate f ață de stocarea cheilor private pe o m așină locală.
Printr e algoritmii cu ch eie pub lică se numără RSA, ElGamal și Diffie-Hellman
Hey Exchange.
7.2.3. Managementul cheilor și distribuția acestora
Una din problem ele fundam entale atât în sisteme de criptografie cu cheie
publică cât și în cele cu cheie secret ă este modalitate a de distribu ire și menținere a
cheilo r utiliz ate pen tru criptare și decriptare, în mod securizat.
Algoritm ii cu cheie secret ă depind de ob ținerea în m od securizat a cheii de c ătre
toate părțile im plicate. D e exem plu, e-m ail-ul nu este cons iderat un m ecanism securizat
de distribu ire a chei lor, deoarece ter țe părți îl po t intercep ta în tranz it.
69

Securitatea siste melor informatice
O altă problemă a cripto grafiei cu cheie s ecretă este faptul c ă nu este un sistem
la fel de scalabil ca și criptarea cu cheie public ă. De exem plu, în cazul în care se dore ște
trimiterea unui m esaj cr iptat cu o ch eie se cretă către m ai mulți destinatari, toți trebu ie să
prim ească câte o cheie p rin care să se poată decripta m esajul. Astf el, expedito rul treb uie
să se asigure de faptul c ă toți des tinatarii rec epționează cheia, c ă aceasta nu este
interceptată sau compromisă în tim pul tr anzitulu i și că este păstrată în mod securizat în
mom entul atingerii destina ției finale. Pentru fiecare m esaj nou trim is, procesul trebuie
să se rep ete, cu excep ția faptului când se dore ște reutilizar ea cheii inițiale. Reutiliz area
cheii or iginale sporește șansele ca aceas ta să fie com promisă, iar în cazul în car e se
dorește ca fiecare destin atar să aibă o cheie secret ă, sistem ul de distribu ție nu m ai este
gestion abil.
Prin utilizarea cripto grafiei cu cheie public ă are loc un singur schim b de chei
publice pen tru fiecare d estinatar, iar acest lucru poate fi u șurat prin plasarea acestora
într-un director precum Lightweight Directory Access Protocol (LDAP). Totu și, cheia
publică treb uie schim bată prin tr-un m ecanism de încred ere și secur izat, având grij ă ca
acea cheie s ă aparțină într- adevăr unei anum e persoane și nu unui ter ț care
impersoneaz ă persoana real ă.
7.2.4. Func țiile H ash
O funcție hash oferă un m ijloc de a crea un con ținut cu lungim e fixă prin
utilizarea unor date de in trare cu lung ime variabil ă. Acest lucru m ai este cunoscut și sub
numele de luarea unei ampren te a datelor, iar datele de ie șire sunt cunoscute sub
numele de message digest sau hash . În cazu l în care datele se m odifică după ce a fo st
calcu lată funcția hash , aceas tă valoare nu se va m ai potrivi la o a doua calculare. Prin
utilizarea unui algoritm hash cripto grafic, chia r și o m ică modificare precum ștergerea
sau adăugarea unei virgule dintr-o propozi ție va crea m ari diferențe într e valor ile hash .
De asem enea, la polul opus, având la dispozi ție un mesaj hash cripta t cu un algoritm
criptografic puternic, nu este posibil ă determ inare a mesajului ini țial.
Valorile hash rezolvă problem a integrității mesajelor, deoarece prin aceste valori
se poate verifica dac ă datele au fost sau nu m odifi cate.
Între algo ritmii de tip hash se numără Secure Hash Alg orithm 1 (SHA-1) și
Message Digest 5 (MD 5).
Securitatea general ă atât a cheilo r publice cât și a celor private poate fi discutat ă
și în te rmeni de lungime . O cheie de m ărime m are nu garanteaz ă securita tea de
ansam blu a sistem ului sau gestiun ea secu rizată a cheilor. De asem enea, aceasta nu
rezolvă alte problem e, precum generarea de num ere aleatoare (slaba utilizare a gene rării
de num ere aleatoare a com promi s im plem entare a SSL origin ală în browser-ul
Netscape). Lungim ea unei chei în sine indic ă num ai faptul c ă algoritmul de cr iptare
utilizat este unul puternic.
Trebuie notat faptul c ă lungim ea cheilor publice și secrete difer ă din punct de
vedere al m ărimii și securității. De exem plu, o cheie RSA de 512 bi ți oferă o securitate
mai mică decât o cheie de 128 bi ți de tip Blowfis h. Tabelul 7.1 rezum ă anum ite relații
agreate între cheile publice (RSA) și cele secrete, din punct de vedere al lungim ii.
70

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri

Tabelul 7.1
Relații agre ate într e lungimea che ii publice și cea a
cheii private
Lungime che ie sec retă (cifru bloc) Cheie RS A
56 biți 512 biți
80 biți 1024 biți
112 biți 2048 biți
128 biți 3072 biți
256 biți 1536 0 biți

7.2.5. Utilizarea semn ăturilor digita le. Riscuri de securitate
Prin sem narea de către Președintele SUA a The Electronic Signat ures in Global
and National Commerce Act în 30 iunie 2000, semn ăturile digita le au devenit un subiect
din ce în ce mai important. Term enul de semnătură electronic ă are interpret ări mai
largi, pornind de la semn ături crip tografice dig itale până la o im agine scanat ă a unei
semnături de m ână. În am bele cazuri, s e definește calea pentru u tilizarea legal ă a
semnăturilor digitale în c omunicațiile electronice.
Semnăturile digitale p ot aju ta la identificarea și autentificarea pe rsoanelo r,
organizațiilor și a calculatoarelor p rin In ternet, putând fi utilizate și pentru a verifica
integ ritatea datelo r după term inarea tranzitulu i.
Semnăturile digitale sunt asem ănătoare sem năturilor de m ână, care sunt u tilizate
zilnic pentru a identifica un individ într-o m anieră legală. De exem plu, în m omentul în
care o perso ană se decide asupra term enilor unui contract, includerea unei sem nături de
mână indică faptul c ă acea perso ană este de acord cu term enii acelui contract. În
continuare, persoana respectiv ă nu ar m ai trebui s ă nege faptul c ă a sem nat acel
docum ent sau că term enii acelui cont ract nu corespund dorin țelor lui, decât în caz de
falsificare. În m od asemănător, semn ăturile d igitale po t identifica p ersoana care a
semnat o tranzac ție sau un m esaj, dar spre deosebire de sem năturile de mână, o
semnătură digitală poate ajuta în ve rificarea faptu lui că un docum ent sau o tranzac ție nu
a fost m odifi cată față de starea original ă din m omentul sem nării.
Deosebirea principal ă față de sem nătura de m ână este aceea c ă, în cazu l în care
sistem ul a f ost im plem entat corespu nzător, semnătura digital ă nu se po ate fals ifica. În
condiții ideale, aces t lucru poate îns emna faptul c ă un m esaj sem nat digita l trebu ie să
aparțină persoanei a c ărei semnătură apare în m esaj. Incap acitatea de a nega faptul c ă un
mesaj sau o tranzac ție a fost executat ă (sem nată, în acest caz) se num ește nerepudiere .
Semnătura digital ă oferă trei servicii de secur itate de bază: auten tificare,
integ ritate și nerepudiere.
Semnăturile digitale ob țin un g rad ridicat d e secu ritate prin utilizarea a dou ă
tehnici de criptografie: criptarea cu cheie public ă și hashing. Crearea unei sem nături
digitale presupune hashing-ul datelor, apoi criptarea m esajului rezultat cu o cheie
privată. Orice persoan ă care deține cheia public ă corespondent ă va fi capabil s ă verifice
faptul că mesajul hash corespunde m esajului original.
Scopul sem năturilor digitale este acela d e a identifica în mod pozitiv expedito rul
unui m esaj și de a asigura faptul c ă datele nu au fost m odificate. Dar, exis tă și probleme
71

Securitatea siste melor informatice
care pot ap ărea în tim pul insta lării și utilizării aceste i tehno logii în m od securizat. De
exem plu, utilizarea unui algoritm de hash slab ofer ă o securitate sc ăzută în co mbinație
cu un algoritm de criptare put ernic. Din nefericire, sim pla vizualizare a u nui m esaj hash
nu este suficient ă pentru a detecta util izarea unui algoritm slab.
Înțelegerea riscu rilor as ociate cu utilizarea semn ăturilor digitale presupune
înțelegerea lim itărilor a ceste i tehno logii. Astf el, o sem nătură digitală, când nu este
legată de num ele utilizatorului printr-un cer tificat d igital, nu are n ici o sem nificație.
Distribu irea securizat ă a sem năturii digitale este singura garan ție a securit ății ei. În
cazul în care este nevoie de o distribuire la s cară a cheilor publice pentru verificarea
semnăturilor digita le, tre buie cre ată o bază de d ate la car e persoane le interes ate să aibă
acces de citire, în tim p ce scrierea trebuie res tricționată cu cele m ai puternice tehnologii.
Poate cel mai m are risc al sem năturilo r dig itale este a cordarea une i pre a mari
încrederi acestei tehnologii. Sem năturile de m ână pot f i falsificate sau f otocopiate într-
un nou docum ent, dar ac est lucru nu ar trebui s ă fie valabil într-un sistem de se mnături
digitale im plem entat în m od corespunz ător. O sem nătură de m ână poate să ofere o
certitudine pân ă la rup erea m odelului de înc redere. Prob lema cu sem năturile d igitale
este aceea c ă nu se știe încă unde și când nu se m ai poate vorbi de încrederea acordat ă
sistem ului.

7.2.6. Certificate digitale . Riscuri de securitate
O sem nătură digitală în sine nu ofer ă o legătură puternică cu o persoan ă sau o
entitate. Cum se poate ști că o cheie public ă utilizată pentru a crea o semnătură digitală
aparține într -adevăr unui individ anum e și că acea cheie este înc ă validă? Pentr u acest
lucru este n ecesar un mecanism care să ofere o leg ătură între cheie pub lică și un individ
real, func ție îndeplinit ă de certif icatele digitale .
Certificatele digitale pot oferi un nivel ridicat d e încredere asupra faptu lui că
persoana al c ărei num e apare pe ac el certificat are ca și corespondent o anum ită cheie
publică. Această încred ere es te realizat ă prin utilizarea unei ter țe părți, cunoscut ă sub
numele de Autoritate de Certifica re (Certificate Autho rity – CA). O auto ritate de
certificare s emnează un certificat în calitate de g arant p entru identitatea u nei perso ane al
cărei num e apare pe certificatul res pectiv. Formatul curen t accepta t pentru cer tificate
digitale este X.509v3.
Standardul X.509v3 definit în RFC 2459 desc rie un for mat agreat de certificate
digitale. Acest standard define ște elem entele unui certificat:
• Certificate Version – indică versiunea form atului unui certificat;
• Serial Number – un număr unic asignat de c ătre autoritatea de certificare,
utilizat pentru urm ărirea certificatelo r;
• Signature – identif ică algoritmul de criptare și funcțiile de tip message digest
suportate de CA;
• Issuer name – numele emitentului (al CA);
• Period of V alidity – datele în tre care certific atul este valid. Aceast ă perioadă
nu exclude ca certificatul s ă fie revocat;
• Subject – numele proprie tarului ce rtificatu lui;
• Subject's Public Key Info – cheia p ublică și algoritm ul asociat cu câmpul
Subject;
72

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
• Issuer Un ique ID – un câm p opțional utiliza t pentru a id entifica emitentul
certificatu lui sau auto ritatea d e cert ificare. Utilizarea aces tui câm p nu este
recom andată în RFC 2459;
• Extension s – câmp opțional u tiliza t pentru exten sii propr ietare. Aces t câmp
nu este definit dar cuprinde articole precum : alte denum iri ale subiectului,
informații pentru utiliza rea cheilor și punctele de distribu ție a listelor de
revocare a certificatelor (Certi ficare Revocation List – CRL);
• Encrypted – acest câmp con ține sem nătura în sine, iden tificatorul
algoritm ului, hash-ul securizat al celorlalte câm puri din certificat și o
semnătură digitală a hash-ului.

Form atul certificatulu i digital este relativ u șor de înțeles, dar schim bul de
certificate între persoane poate ridica anum ite dificult ăți. Asigurarea faptului c ă un
certificat ap arține unui utilizator anum e este dific il de realizat. De exem plu, într-o
organizație pot exista mai multe persoane cu num ele Ioan Popescu, dar num ai unul
dintre ei este utilizatorul vizat al certificatulu i.
Certificatele necesit ă mijloace de gestionare a cre ării acestora, dis tribuirea lor,
stocarea cen tralizată, revocarea, back up-ul ch eilor și actualizarea aces tora. Acest sis tem
de m anagement este cunoscut sub num ele de infrastructura de chei publice ( Public Key
Infras tructu re – PKI).
O inf rastruc tură de chei publice este o arhitectur ă de securitate creat ă pentru a
facilita instalar ea tehno logie i de chei pub lice. Între co mponentele unui PKI se pot
număra un depozit de certificate (de obicei un serviciu d irector compatib il LDAP),
certificatele digitale, listele d e revocare a cert ificatelo r (CRL), sof tware -ul pen tru ac este
aplic ații, precum și aspectul um an al acesto r proceduri.
O PKI cuprinde câteva servicii de baz ă de securitate între care se num ără
autentif icarea utiliza torilor, conf idențialitate a și integ ritatea, ajutând de asem enea la
implem entarea nerepud ierii.
O autoritate de certif icare este o component ă a infrastructu rii generale de chei
publice și este o com ponentă critică pentru o im plementare la scar ă a acestei
infrastru cturi. Funcția principa lă a unei au torități de cer tificare e ste aceea de a certifica
faptul că perechea cheie public ă / cheie privat ă aparține în tr-adevăr unui individ anum e.
Obținerea certificatelor digitale se p oate face în m ai multe moduri, în func ție de
scopul acestora. De exem plu, se poate utiliza Micro soft Certifica te Service s din
Windows 2000/2003 pentru a inst ala certificate auto-em ise.
O altă opțiune este ob ținerea unor certificate de la un distribuitor de certificate.
Unul dintre cei m ai ma ri distribuitori este VeriSign. Acesta ofer ă certificate pen tru
S/MIME, S SL (client și serv er), Server Gated Cryptography (SGC) pentru institu ții
financiar e, certificate d e tip Authen ticode pentru publicarea de software, etc.
Certificatele digitale pot reprezen ta un mecanism puternic de autentificare, în
special în mom entul în care sunt stocate pe smart card-uri. Dar, pentru ca certificatele
digitale s ă reprezinte o securitate adecvat ă, trebuie rezolvate m ai întâi problem ele de
încreder e. De exem plu, o autoritate de certificare trebu ie să posede m ecanism e de
securita te puternice pe ntru a identif ica în m od pozitiv to ți participanții care do resc
asem enea certificate. În trebarea "cât de bine id entifică o autoritate de certificare un
viitor poses or?" de termină securitatea de ansam blu a in frastructurii de chei publice.
Dacă scopul unui certificat este de a lega un individ de o sem nătură digitală,
cum se poate cunoa ște că certificatul apar ține într -adevăr persoanei reale și nu unui
73

Securitatea siste melor informatice
impostor? P oate că certificatul apar ține unui utilizator neinten ționat cu acela și num e ca
și al utiliza torului re al. Multe certificate se bazează pe numele care a par în câm pul
Subject pentru a iden tifica posesoru l.
În cazu l în care func ția unei au torități de certificare este aceea d e a certifica
identitatea unui individ și de a oferi se rvicii de nerepudiere, acest lucru ridic ă și
problem e de răspundere sau obliga ție.
O altă problemă cu certificatele dig itale es te reprezentat ă de faptul c ă listele de
revocare a certificatelor (CRL) sunt ve rificate foarte r ar, inc lusiv de c ătre browser-ele
Web. Un certificat po ate fi revo cat d in mai multe m otive, în tre care se numără
compromiterea cheii, com promiterea auto rității de certificare sau o schim bare a
autorității de certificare. Problemele legate de distribuirea listelor de revocare a
certificatelo r nu au fost înc ă rezolvate pe deplin.

7.2.7. Autentificarea Kerb eros V5
Kerberos V5 , protocolul principal de securita te pentru autentif icare într-un
domeniu, verific ă atât id entitatea utilizato rului cât și a se rviciilor de r ețea. Aceast ă dublă
verificare este cunoscut ă și sub nu mele de autentif icare recip rocă. Acest protocol,
dezvoltat ini țial la MIT, este cap abil să ofere servicii putern ice de auten tificare într-un
mediu de calcul distribuit. Totodat ă, prin includerea lui ca pr otocol de autentificare
implicit în tr-un dom eniu Windows 2000/2003, a fost accelerat pro cesul de dezvoltare a
aplic ațiilor bazate p e acesta.
Modelul Kerberos se bazează pe faptul c ă aplicația clien t și aplicația server nu
trebu ie neapărat să-și acorde recipro c încredere, ci am bele trebuie s ă acorde încredere
unui centru de distribu ție a che ilor (Key Distrib ution Center – KDC). Kerberos ofer ă un
sistem de m esaje crip tate num ite tichete, care as igură în m od securizat încred erea
recip rocă dintre dou ă mașini din re țea. Utilizând Kerberos, parolele nu m ai sunt
transm ise în rețea, nici chiar în form at criptat. În cazul în care un tich et Kerberos este
interceptat, acesta r ămâne protejat deoare ce este crip tat.
Odată ce o m așină client ob ține un tichet către un anum e server, tiche tul este
păstrat p e mașina loc ală până la expirare, făcând astfel Kerberos un sistem de
autentificare foarte eficient. În func ție de im plem entare, un tichet Kerberos expir ă de
obicei dup ă opt ore. În mod i mplicit Kerberos u tilizează criptarea cu ch eie sim etrică. O
implementare Kerberos standard are de obicei urm ătoarele com ponente:
• Principal – un calculator, utilizat or sau entitate care va fi autentificat ă;
• Realm (dom eniu în W indows 2000/2003) – o grupare logic ă de obiecte de tip
principal care va fi protejat ă de Kerberos. Toate c onturile utilizatorilor și
resurs ele p rotejate rezid ă în interiorul unui realm Kerberos;
• Key Distribution Center (KDC) – parte a din implem entarea Kerbe ros care
autentif ică obiectele de tip principal. KDC distribuie chei se crete și mediază
comunicația securizat ă între un calculato r client și resu rsele din rețea. Cheile
secrete sun t stocate în Key Distribution Center;
• Ticket Gra nting Service (TGS) – ofer ă tich ete de tip sesiune p entru
accesarea altor resu rse dintr-un rea lm Kerberos. De obicei TGS ruleaz ă în
Key Distribution Center;
• Ticket Gran ting Ticket (TGT, sau tichet utilizat or în W indows 2000/2003 ) –
un jeton de securitate care verific ă faptul că o entitate a f ost autentif icată.
74

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
TGT asigur ă faptul că utiliza torii n u mai trebuie s ă rein troducă parola dup ă
un login ini țial, până la expirarea tichetului.
• Session Ticket (ST, sau tichet de serviciu în W indows 2000/2003) – un jeton
de securitate care perm ite unui obiect de tip principal s ă acceseze res urse
protejate. Pentru acces area o ricărei aplica ții care utilizea ză Kerberos este
necesar un tichet de s esiune valid.
7.2.7.1. Cum func ționează Kerberos V5
Mecanism ul de securitate din Kerberos V5 em ite tichete pentru accesarea
servic iilor d e rețea. Aceste tichete con țin da te criptate, inclusiv o paro lă crip tată care
confirmă identitatea u tilizatoru lui față de serv iciul accesat.
Un serviciu im portant în Kerberos V5 este Key Distribution Center (KDC) care
rulea ză pe f iecare controler de dom eniu parte a Active Directory, în care se stocheaz ă
toate p arolele clien ților precum și alte informații.
Procesul de autentificare Kerberos V 5 urmează pașii:
• utilizatorul unui sistem client, utilizând o parol ă sau un sm art card, se
autentif ică față de KDC;
• KDC em ite clien tului un tiche t de tip Ticket Gran ting Ticket. Sistem ul client
utilizea ză acest jeton TGT pentru a accesa Ticket Granting Service (TGS),
care es te parte a m ecanism ului de autentificare d intr-un contro ler de
domeniu;
• TGS em ite un tiche t de s erviciu către clien t;
• clien tul pr ezintă acest tic het serv iciului de rețea accesat. Tich etul de serviciu
dovedește atât iden titate a utiliza torului către serv iciu, câ t și a servic iului față
de client.

În W indows 2000/2003 serviciile Kerberos V5 sunt instalate pe fiecare controler
de dom eniu, iar clien tul Kerberos es te instalat pe fiecare s tație de lucru și server.
Fiecare con troler de do meniu se co mportă ca și un Key Distribution Center. Un
clien t utiliz ează Domain Name Se rvice (DNS) pentru a localiza cel m ai apropiat
controler de dom eniu, care va func ționa ca și KDC preferat pentru utilizator în timpul
sesiunii de logon. În cazul în care K DC nu mai este disponibil, sistem ul localizeaz ă un
KDC alterna tiv, pen tru autentif icare.
7.2.7.2. Riscuri de securitate în Kerberos
Princip ala slăbiciune a Kerberos es te aceea c ă rămâne vulnerabil la atacurile
date p rin "g hicirea" parolei. Da că utilizatorul alege o parol ă "slabă", este posib il ca
tiche tul să fie colectat și decriptat, impersonându-se astfel utilizatorul. P arolele statice
sunt cel m ai mare punct de sl ăbiciune în orice s istem de sec uritate, deoarece utilizatorii
nu aleg de obicei parole greu de g ăsit. Prin mariajul tehnologi ei de criptare cu cheie
publică cu Kerberos se face un pas im portan t în în lăturarea ace stei s lăbiciuni.
De asem enea, Kerberos presupune f aptul că gazdele nu au f ost com promise. În
esență, Kerb eros este un model al g azdelo r cu relații de încredere (s igure) într-o rețea
nesigură. În cazul în care via ța tichetulu i este seta tă prea lung ă, protocolul devine
nesigur prin expunerea unui tichet de serviciu pentru o perioad ă de tim p prea m are. Iar
dacă viața tichetu lui este prea scurt ă, aceas ta poate av ea un impact negativ asupra
perform anțelor și utilizării.
75

Securitatea siste melor informatice
Utilizare a DES în Kerbe ros poa te fi de asem enea o prob lemă, deoarece DES nu
mai este considerat un algoritm sigur. Dar Kerberos perm ite și utilizare a altor algo ritmi
de criptare, m ai puternici, precum Triple-DES.
Alte r iscuri de secu ritate mai pot f i considera te și relațiile tranzitive de în crede re
și abilitate a de a îna inta tiche tele.
7.2.8. Autentificarea SSL/ TLS
Secures So ckets Layer (SSL), tehno logia care p ermite utilizarea certificatelo r
digitale, este un protocol di n nivel transport care ofer ă o securitate deosebit ă de tip end-
to-end, prin securizarea sesiunii di n punctul de origine pân ă în punctul destina ție.
SSL se refer ă în general la securitatea com unicării în tre două părți. Ace st lucru
poate în semna com unicarea dintre un browser Web și un server W eb, o aplica ție e-mail
și un server e-m ail sau chiar canalele de com unicație dintre dou ă servere. SSL poate de
asem enea să autentifice un server și, în m od opțional, un client. SSL a devenit astfel,
metoda de facto pentru securizarea com erțului electron ic prin Intern et.
SSL este u n protocol orient at pe conexiuni care necesit ă ca atât aplicația
clien t cât și serverul s ă cunoască acest protocol. În cazu l în care este necesar SSL la
nivelul unui server, aplica țiile care nu pot s ă utilizeze acest protocol nu vor putea
comunica cu acesta.
SSL oferă servic ii de s ecuritate p rintre care se nu mără:
• confidențialitate a (privacy),
• autentif icarea și
• integ ritatea mesajului.
SSL o feră integ ritatea mesajului prin utilizare a unei verif icări de se curitate
cunoscută sub num ele de codul de autentificare al mesajului (message authentication
code – MAC). MAC asigur ă faptul că sesiunile criptate nu s unt m odificate în timpul
tranz itului.
SSL ofer ă autentificarea serverului prin ut ilizarea tehnologiei de criptare cu
cheie pub lică și, în m od opțional, poate autentifica anum iți clienți prin necesitatea
existenței de certif icate d igitale la niv el de clien t. În practic ă, certificatele pentru clien ți
nu sunt disponibile pe scar ă largă deoarece nu sunt u șor portabile în tre mașini, po t fi
ușor pierdute sau distruse, fiind în trecut și dificil de insta lat în ap licațiile re ale. De
asem enea, multe site-u ri W eb au găsit satisfăcătoare din punct de vedere al securit ății
pentru cele m ai multe cazuri, com binația de S SL utilizat ă împreună cu un num e de
utiliza tor și o parolă.
Internet Engineering Task Force (IETF) este organiza ția responsabil ă pentru
dezvoltarea standardului SSL. Noul st andard este cunoscut sub num ele de Transport
Layer Secur ity (TLS), d ezvoltat in ițial de Netscape Communications Corporation. TLS
1.0 definit în RFC 2246, ofer ă îmbunătățiri minore f ață de S SL 3.0. În realitate TLS este
SSL 3.1
Noile îm bunătățiri cuprind: raportarea unui num ăr de versiune, diferen țe în
tipurile de protocoale, tipur i de mesaje de auten tificare, gen erarea che ilor și veri ficarea
certificatelo r. În plus, TLS elim ină suportul pentru algo ritmul Fortezza, o fa milie de
produse de securitate care cuprinde solu țiile de securitate Personal Computer Memory
Card International Association (PCMCIA). Deoarece TLS este un standard deschis,
este d e așteptat ca întreaga com unita te Inte rnet să coopereze pen tru îm bunătățirea
perform anței și securității aces tuia.
76

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
7.2.8.1. Legătura SSL-HTTP
Sesiunile Web standard utilizeaz ă HyperText Transfer Protocol (HTTP) pentru a
stabili can ale de com unicație prin rețelele TCP/IP. SSL a fost creat ca și un protocol de
securitate separat, care îmbun ătățește standardul HTTP.
Din punct de vedere logic, SSL se insereaz ă între protocolul aplica ție HTTP și
nivelul de conversa ție TCP, din punctul de vedere al TCP SSL fiind doar un alt nivel
protocol de nivel aplica ție. Deoarece SSL se com portă ca o îm bunătățire, adăugarea
SSL la protocoalele existente este sim plă, nem aineces itând rescrierea protocoalelor de
bază.
Din cauza acestu i desig n flexibil, S SL este cap abil să cripteze aproap e întregu l
trafic b azat pe TCP. Mai m ult, SSL a fost util izat pen tru a oferi s ecuritate la niv el de
sesiune pentru e-m ail (SMTPS, POP3S, IMAPS), news (NNTPS), L DAP (LDAPS) ,
IRC (IRCS), Telnet (Telnets), FTP (FTPS). Dar SSL nu poate s ă îmbunătățească
transm isiunile pr in UDP.
În general traficul W eb bazat pe SS L este configurat s ă utilizeze po rtul 443 î n
locul portului standard 80. Browser-ele W eb vor crea o sesiune SSL prin utilizarea
HTTPS în locul HTTP.
7.2.8.2. Cum func ționează SSL
Pentru func ționarea unei sesiuni bazat ă pe SSL, trebu ie luate în calcul o serie d e
elem ente. Astfel, serverul W eb necesită un ce rtificat dig ital împreun ă cu o cheie priv ată
corespunz ătoare.
Cel m ai mare distribuito r de certificate pentru server este V eriSign. Ob ținere a și
instalarea unui certificat SSL de la Ve riSign presupune un proces în m ai mulți pași:
generarea unei cereri, trim iterea unui Certificate Signing R equest (CSR), com pletarea
unui form ular prin care se autentific ă un utilizator s au o afacere, ins talarea
identificato rului de serv er și activarea SSL pentru serv erul W eb. Autentif icarea pr in
VeriSign presupune și verificarea datelor trim ise de organiza ția care necesit ă un
certificat.
Înain te de stabilirea un ei sesiuni SS L, clientu l trebuie s ă cunoască de asem enea
acest p rotocol. În m omentul ex istenței elem entelo r necesa re, clientu l și serverul pot
stabili o con exiune securizat ă.
Procesul p rin care s e stabilește o conexiune între un client și un se rver (d e
exem plu cump ărare online), se desf ășoară în ma i mu lți pași. SS L utilizeaz ă o
combinație de crip tări cu chei pub lice și secrete. Datele b rute al e unei sesiuni SSL sunt
întotd eauna crip tate cu cheia secret ă, fiind m ult mai puțin consum atoare de resurse din
punct de vedere al proces ării decât criptarea cu cheie public ă. Protocolul SSL/TLS
suportă mai mulți algoritm i de crip tare cu cheie secret ă, printre care DE S, Triple-D ES,
IDEA, RC2 și RC4. Algoritm ii cun oscuți pentru schim barea cheilor cu prind Diffie-
Hellm an și RSA.
O sesiune S SL cuprinde urm ătorii p ași:
• ClientHello – în acest pas, clientul trim ite un m esaj către server
(Clien tHello ) cerând o pțiuni de conectare SSL, între care num ărul de
versiune al SSL, set ările cifrului, date generate în m od aleator care stau la
baza calculelor criptog rafice și metoda de com presie u tiliza tă;
• ServerHello – după primirea m esajului ClientHello, serveru l ia la cuno ștință
recepția prin trim iterea unui m esaj ServerHello care con ține numărul de
77

Securitatea siste melor informatice
versiune al protocolului, set ările cifrului, date genera te aleator, m etoda de
compresie și identificatorul de sesiune;
• ServerKey Exchange – imediat dup ă trimiterea ServerHello, serve rul trim ite
un m esaj de tip ServerK eyExchange c ătre clien t care con ține certificatul cu
cheia pub lică. În cazu l în care s unt necesare și certificate d in partea
clienților, este generat ă o cerere în acest sens ;
• ServerHello Done – după ServerKeyExchange, serverul trim ite un mesaj
final prin care se indic ă finaliza rea negocie rii inițiale;
• ClientKeyExchange – după recepționarea m esajulu i de tip
ServerHelloDone, clientul r ăspunde cu m esajul ClientKeyExchange care
constă în ch eia s imetrică a se siunii, crip tată cu cheia public ă a serverului,
prim ită în pasul 3;
• ChangeCipherSpec – în aces t pas clie ntul trimite c ătre server un m esaj de
tip ChangeCipherSpec în care specific ă ce s etări de securitate ar trebui
invocate /utilizate;
• Finished – clientu l trim ite m esajul Finish ed, prin c are se per mite
determ inare a finalizării cu succes a negocierii și dacă opțiunile de s ecuritate
au fost sau n u com promise în orice s tagiu anterio r;
• ChageCipherSpec – serveru l trim ite către client un m esaj de tip
ChangeCipherSpec, prin care s e activ ează opțiunile de securitate invocate;
• Finished – serveru l trim ite un m esaj de tip Finished, perm ițând clientului s ă
verifice op țiunile de s ecuritate activate. Dup ă trim iterea aces tui m esaj,
negocierea este finalizat ă, iar conexiunea este stabilit ă. În continuare, toate
comunicațiile sunt criptate, pân ă la te rminarea sa u finaliza rea sesiunii.
7.2.8.3. Performan ța SSL
Dacă SSL ofer ă o asem enea secu ritate, de ce nu s e criptează întregu l trafic? De și
este o idee bună, în procesul de criptare și stabilire a un ei co nexiuni SSL este im plicat și
foarte m ult traf ic ad ițional, din cauza naturii prot ocolului HTTP care creeaz ă o nouă
sesiune pen tru fiecare ob iect ceru t dintr-o pag ină Web.
De exem plu, într-o sim plă tranzacție în care browser-ul cere o singur ă pagină de
text cu p atru im agini, generea ză cinci cereri GET (una pentru pagin ă și patru pentru
imagini). Prin utilizarea SSL, pentru fiecare din aceste ses iuni trebu ie negociate chei
separa te de crip tare. Pentru a înr ăutății și mai mult lucru rile, utilizato rii frustrați de
timpul de răspuns reîncarc ă pagina în browser-ul Web (refresh), generând și mai multe
conexiuni S SL.
Pentru îm bunătățirea perfor manțelor SSL se pot aplica urm ătoarele:
• utilizarea d e acceleratoare de cripta re hard ware, proces care nu necesit ă
rescrierea paginilor W eb sau achizi ționarea de servere ad iționale;
• utilizarea de pagini SSL sim ple, cu cât m ai puține im agini; utilizare a SSL num ai
pentru anum ite pag ini Web selectate, precum acelea prin c are se trim it inform ații
privitoare la c ărțile de credit; cache-ingul conexi unilor SSL p ermite de asem enea
îmbunătățirea perform anțelor, deoarece stab ilirea unei noi conexiuni necesit ă de
cinci ori m ai mult tim p decât reconectarea la o sesiun e păstrată în cache. Cu
toate acestea, activarea s esiunilor SSL în cache este dificil de implem entat – dacă
timpul de expirare este stabilit prea m are, serverul poate consum a prea m ultă
memorie prin p ăstrarea conexiun ilor neu tilizate. De asem enea, cache-u l
78

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
conexiunilor nu ar putea fi dezirabi l din punct de vede re al securit ății paginilor
dintr-un site. De exem plu, o aplica ție bancar ă online ar trebuie s ă favorizeze
securitatea și să nu activ eze cach e-ingul conexiu nilor.
7.2.8.4. Riscuri de securitate în SSL
SSL nu ofer ă nici o protec ție în afara sesiun ilor, iar s erverele W eb care perm it
utilizarea SSL nu pot s ă ofere protec ție pentru date care sunt stocate în for mat text în
server.
SSL nu ofer ă protecție împotriva atacurilor bazate pe W eb precum exploatarea
diverselor puncte slabe prin script uri CGI. De asem enea, SSL nu ofer ă nici un
mecanism pentru con trolarea drep turilo r de securitate (ceea ce îi este perm is unei
persoane s ă facă după autentificarea pe un server).
În cele d in urmă, SSL nu protejeaz ă împotriva atacurilor de tip Denial of
Service și rămâne vulnerabil la analiza traficului. Pe ntru a oferi un ni vel de secu ritate
adecvat, serverele care lucreaz ă cu SSL ar treb ui să suporte criptarea pe 128 bi ți și o
cheie pub lică pe 1024 bi ți.
Certif icatele la n ivel de serv er auto-sem nate pot of eri se curitate, dar nu și
autentificare. Un certificat auto-sem nat nu este considerat sigur de c ătre mașina client
fără a execu ta anum iți pași adiționali.
7.2.9. Autentificarea NTLM
Într-un m ediu de rețea, NTLM este utilizat ca și protocol de autentificare pentru
tranz acțiile dintre dou ă calculatoare în care unul dintre ele ruleaz ă Windows NT 4.0 s au
mai mic iar celălalt W indows 2000 sau m ai mare.
În exem plele urm ătoare se utilizeaz ă NTLM ca m ecanism de auten tificare:
• un client W indows 2000 sau W indows XP Professional care se autentif ică într-
un controler de dom eniu W indows NT 4.0;
• o stație de lucru client W indows NT 4.0 Workstation care se autentific ă într-un
domeniu W indows 2000 sau W indows 2003;
• o stație de lucru W indows NT 4.0 W orkstation care se autentific ă într-un
domeniu W indows NT 4.0;
• utilizatorii dintr-un dom eniu Wi ndows NT 4.0 care se autentific ă într-un
domeniu W indows 2000 sau W indows 2003.

Pe lângă acestea, NTLM este pro tocolul d e autentificare pentru calcu latoarele
care nu particip ă într-un dom eniu, precum stațiile de lucru sau serverele independente.
7.2.10. Compara ție Kerberos – NTLM
Pe măsură ce a crescut popularitate a Windows NT 4.0, a crescut și inte resul de
securizare a sistem ului, iar prin ad ăugarea au tentificării Kerberos în W indows 2000,
Microsof t a crescu t în mod sem nificativ f acilitățile sistem ului de operare. În versiunile
Windows 2000/2003 NT LAN Manager (N TLM) este oferit num ai pentru
compatibilitate înapoi, cu W indows NT, și ar trebui dezactivat îndat ă ce clienții din
rețea se pot autentifica utilizând Kerberos.
Kerberos are anum ite beneficii față de NTLM. Astfel, Kerberos se bazează pe
standarde în vigoare, deci perm ite W indows 2000/2003 s ă inter acționeze cu alte re țele
care utilizeaz ă Kerberos V5 ca m ecanism de aute ntificare. NTLM nu poate oferi aceast ă
79

Securitatea siste melor informatice
funcționalitate deoarece este un protocol prop rietate a sis temelor de operare de la
Microsoft.
Conexiunile la serverele de aplica ții și fișiere sunt m ai rapide în m omentul
utilizării au tentif icării bazate de Kerberos, d eoarece serverul Kerberos trebuie s ă
verifice num ai datele oferite de client pentru a determ ina dacă îi perm ite accesul.
Aceleași date of erite de client po t fi utiliza te în întreaga r ețea, pe întreaga durat ă a
sesiunii de logon. În m omentul utiliz ării NTLM, aplic ațiile și serve rele trebuie m ai întâi
să contacteze un controler de dom eniu pentru a determ ina dacă clientului îi este perm is
accesu l.
Autentif icarea Kerberos este of erită atât pentru client cât și pentru server, în
timp ce NTLM ofer ă numai autentif icare pentru clien t. Astf el, clienții NTLM nu știu cu
siguranță dacă serv erul cu care com unică nu este unul fals.
Kerberos ofer ă și posibilitatea relațiilor de încredere, fiind b aza pen tru relațiile
tranzitive dintre dom enii din W indows 2000/2003. O rela ție tranz itivă de încred ere este
o relație în două sensu ri deoarece es te creată o cheie inter-d omenii, partajat ă de ambele
domenii.
Există și considerații asupra faptului c ă implementarea Kerberos a M icrosoft nu
este un a standard, m ai ales d in cau za m odificărilor și exte nsiilo r care au f ost adu se
protocolului. Aceste m odificări priv esc m ai ales utilizarea Kerberos cu tehnologia de
criptare cu cheie public ă, făcând astfel posibil ă autentificarea prin sm art card, care es te
mult m ai sigur decât o parol ă statică.
7.2.11. SSH
UNIX este un sistem de opera re so fistica t și matur care a f ost dezvo ltat de Bell
Labs la începutul anilor 1970. Pe m ăsura trecerii anilor, Un ix a avu t partea sa de
problem e de securitate, multe dint re ele fiind rezolvate. În ge neral, Unix este cons iderat
a fi un sistem de operare sigur și stabil când este configurat în m od corect. Cu toate
acestea, exis tă o serie de protocoale care continu ă să defăimeze securitatea sistemelor
Unix, printre aces tea n umărându-se Telnet, F TP precum și faimoasele com enzi de la
Berkley de tip „r*" (r cp, rsh, rlogin). Program e și protocoale nesigure continu ă să ofere
acces ușor la sis tem atât pent ru administra tori câ t și pentru utiliza tori răuvoitor i. Ace ste
protocoale r ămân vulnerabile în m are parte datorit ă faptului c ă datele de auten tificare
sunt tr imise prin re țea sub for mă de text clar, acesta sem nificând că oricine poate s ă
obțină numele de utilizator și parola, exploatând apoi un serviciu prin im personarea
utiliza torulu i legitim.
Dezvolta t de Tatu Ylö nen în 199 5, Secure Shell (SSH ) oferă servicii de
securitate la nivel de sesiune precum și confi dențialitatea datelor în re țele nesigure,
oferind o înlocuire sigur ă a com enzilor rsh, rlog in, rcp, telnet, rexec și ftp. Securita tea
SSH este dependent ă de criptarea sesiuni i de lucru de tip end-to-end între un client și un
server. SSH are de asemenea posib ilitatea să autentifice în mod sigur m așinile în ainte de
a trimite inf ormațiile de login.
SSH este utilizat în general pen tru a accesa un ca lculator de la distan ță și pentru
a execu ta com enzi. SSH ofer ă de asem enea securizar ea transferu lui de fișiere între
mașini prin executa rea copier ii securiz ate (SCP) și a transferului de fi șiere securizat
(SFTP). SSH poate ajuta de asemenea în se curizarea traf iculu i X11 prin tr imiterea
acestu ia printr-un tun el cripta t. În acest fel SSH a fost utilizat pen tru a defini o form ă
prim itivă de rețea privată virtuală între gazde.
80

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
Com ponentele SSH cuprind serverul (SS HD), clientul (SS H), copierea (SCP)
securizată a fișierelor și ssh-keygen – o aplicație utilizat ă pentru a crea chei pub lice și
priva te utiliz ate pen tru autentif icare a mașinilor.
SSH ofer ă facilități de baz ă pentru tran slatarea por turilo r, prin aceas ta
perm ițându-se utilizatorilor s ă creeze tun eluri pen tru p rotocoalele existente prin
conexiunile SSH existente. De exem plu, tran sferul de d ate prin POP (care în mod
norm al trim ite num ele de utilizator și parola s ub formă de text clar), pot fi securizate
prin SSH. Exist ă și lim itări ale translat ării p orturilo r, deoarece n ici interv alele de
porturi, nici porturile dina mice nu pot fi specificate.
Deși transla tarea portu rilor ajută în securizarea protoco alelor, p recum POP,
există și riscuri pr in ac tivarea a ceste i opțiuni – de exem plu, prin activarea unei conexiuni
SSH de ie șire se poate perm ite unui utilizator s ă traverseze u n firewall prin
transform area protocoalelor (tune luri) de in trare care nu sunt perm ise de firewall prin
sesiuni criptate SSH.
Utilizare a opțiunilor de autentificare a SSH protejeaz ă utilizato rii și mașinile
împotriva atacurilor de tip IP Spoofing, rutarea sursei IP, spoofing DNS, et c.
SSH const ă în trei nivelur i: nivelul p rotocolul de transport, nivelul de
autentificare precum și nivelul conexiune. Protocolul tr ansport este responsabil pentru
gestion area negocie rii cheilor de criptare, cererilor de regenerare a cheilor, mesajelor de
cereri de s ervicii precum și a m esajelo r de deconectare a serviciilor. Protocolul de
autentificare este respo nsabil pentru negocierea tipurilor de autentificare, verificarea
canale lor securiz ate înaintea trim iterii inf ormațiilor de au tentificare pre cum și pentru
cererile de modificare a parolelor. Protocolu l de conectare contro lează deschiderea și
închide rea canalelor pr ecum și a tra nslatării por turilo r.
Există două versiuni de SSH – v1 și v2, iar clien ți SSH exist ă pentru m ai multe
platform e – Unix, W indows, Machintosh, OS/2. Exist ă și versiuni de com ponente de
server pentru W indows NT/2000.
7.2.11.1. Autentificarea pri n SSH
SSH ofer ă câteva m ecanism e pentru autent ificarea u tiliza torilo r în f uncție de
versiune a SSH utilizat ă. Cea m ai slabă formă de au tentificare este realiza tă prin
intermediului f ișierelor .rhosts, aceast ă metodă nefiind recom andată a fi selectat ă
deoarece este foarte pu țin sigură.
Altă metodă de autentificare es te oferită de cripta rea prin RSA. Utilizând această
metodă, utiliza torul creează o pereche public ă/privată de chei prin utilizarea
program ului ssh-keyg en, cheia public ă fiind stocat ă în directorul p ărinte al utilizatorului.
În momentul în care clientul s e auten tifică în fața serveru lui, trim ite numele de utilizator
și che ia pub lică spre gazda de la d istanță. Serv erul retu rnează cheia d e sesiune criptat ă
cu cheia pu blică a utilizatoru lui. A ceastă cheie de sesiune va fi decriptat ă cu ch eia
privată a utilizatorului.
Metoda principal ă de autentif icare în SSH este prin interm ediul fișierelor .rhosts
combinată cu autentificarea RSA. Aceast ă metodă autentif ică clien tul și serverul și le
protejează împotriva atacuril or curente de tip IP Spoofing, DNS Spoofing, etc. Exis tă și
posibilitatea insta lării de TCPW rapper în locu l utilizării fișierelor .rhosts, existând astf el
un control mai m are asupra ut ilizato rilor care în cearcă să se co necteze la u n serviciu.
În cele din urm ă, unui utilizator îi poate fi cerut ă o com binație de num e de
utiliza tor / p arolă prin tr-un canal criptat. De asem enea, în diverse im plem entări exis tă
suport pentru Kerberos, S/KEY și SecurID.
81

Securitatea siste melor informatice
Stabilirea unei conexiuni SSH este ini țiată de com enzile slogin sau ssh, fapt care
duce la verificare auten tificării cu cheia public ă atât pentru server cât și pentru client
apoi fiind stabilit un canal de com unicație sigur.
7.2.11.2. SSH 1
Versiunea originală a SSH, versiunea 1, este distribuit ă în m od gratuit pentru
utiliza re necomercială, împreun ă cu codul surs ă. SSH1 are și variante m ajore (1.2, 1.3 și
1.5). Deși s-au descop erit câteva problem e de securitate, SSH este conside rat în
continuare sigur, dat ă fiind aten ția acordat ă metodei de aute ntificare și cifrului u tilizat.
De exem plu, SSH1 este vulnerabil la atacuril e prin in serarea datelo r, deoarece acesta
utilizea ză CRC pentru verificarea integrit ății datelor. Dar utiliza rea algoritm ului de
criptare Triple-DES rezolvă această problemă.
SSH 1 suport ă o mai mare var ietate de metode de auten tificare față de versiunea
2, între care se num ără AFS (bazat pe Andrew File System dezvolta t la Carn egie-
Mellon ) și Kerberos.
7.2.11.3. SSH 2
SSH 2 este o rescriere com pletă a SSH1 prin care se ad augă noi facilit ăți,
inclusiv suport pentru protocoalele F TP și TLS. Din cauza diferen țelor de im plementare
a protocoalelor, cele dou ă versiun i nu sunt c ompatibile în întreg ime. SSH2 of eră
îmbunătățiri în ceea ce prive ște sec uritatea și portab ilitatea. SSH2 necesit ă mai puțin
cod care s ă rulez e cu privileg ii de root, fiind m ai puțin expus exploat ărilor de tip buffer
overflow; astfel es te mai puțin probabil ca un atacator s ă rămână pe server cu drepturi
de root.
SSH2 nu ofer ă aceleași implementări de rețea ca și SSH 1, deoarece cripteaz ă
părți diferite ale pachetelor. SSH2 nu suport ă metoda de autentif icare prin f ișierele
.rhosts. De asem enea, în SSH2 algoritm ul RSA este înlo cuit de Digital Signa ture
Algorithm (DSA) și de Diffie-Hellman, dar, deoarece patentele RS A au expirat, este de
așteptat sup ortul în continua re pen tru algoritmul RSA în versiun ile următoare. S SH2
suportă Triple-DES, Blowfish, CAST-128 și Arcfour.
Din cauza diferen țelor între SSH 1 și SSH 2 și din cauza restric țiilor de
licențiere, ambele versiuni vor continua s ă fie utilizate pentru o perioad ă de tim p.
7.2.11.4. Algoritmii de criptare utiliza ți
În m omentul stabilirii unei se siuni SSH, atât clientul cât și serv erul SSH
negociază un algor itm de cr iptare. Identita tea serve rului este v erificată înain te de
trimiterea numelui de u tiliza tor și a parolei, fiind un proces care protejeaz ă împotriva
aplic ațiilor de tip cal troian care ar accepta conexiuni și ar p utea să „fure" inform ații de
autentif icare.
Pentru ca un client s ă se poată conecta la un server utilizân d autentifica rea prin
cheie public ă, această cheie trebu ie distribuit ă în m od securizat. În funcție de versiune,
SSH suport ă mai mulți algoritm i de criptare, dup ă cum se poate observa în Tabelul 7.2.

82

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri

Tabelul 7. 2.
Compara ție între SSH1 și SSH2
SSH1 SSH 2
Triple – DES Triple – DES – algoritm implicit
128bitRC4 128bitRC4
Blowfish Blowfish
IDEA – algorit m implicit Twofish
DES Arcfour
RSA CAST 128
– DSA
– Transferul cheilor prin Diffie Hell man
7.2.11.5. Ce poate proteja SSH. Riscuri de securitate ale SSH
În cazu l existenței conexiunilor de sosire c ătre un server, SSH ofer ă un
mecanism sigur și eficient prin care se poate face accesu l. Deoarece SSH este u șor de
insta lat, ac esta ar tr ebui să fie singurul m ecanism prin care s ă se ofere func ționalitate de
tip FTP, Te lnet sau rlogin în tr-un mediu se curizat, pen tru utilizato rul final, SSH f iind
aproape tran sparent.
SSH este o alte rnativă la program ele care exec ută autentificarea în func ție de
adresa IP, iar în m omentul utilizării autentif icării cu cheie pu blică protejează împotriva
program elor care utilizeaz ă parole reutilizab ile. Prin cr iptarea s esiunii între c lient și
server se face protec ția împotriva intercep ției parolelor trimise sub f ormă de text clar.
SSH su feră și de câtev a lim itări, între ca re imposibilitatea de a spe cifica un
interval d e porturi sau aceea d e a trans lata porturi din amice. În p lus, versiu nea de
Windows nu im plementează copierea securizat ă a fișierelor.

7.2.12. PGP. Riscu ri de securitate
Trim iterea m esajelor d e e-m ail prin Inte rnet este foarte asem ănătoare cu
trimiterea cărților poștale – în m od sim ilar, un mesaj de e -mail poa te fi citit de o ricine
care acces ează transm isia. Acest lucr u se poa te întâm pla fără a fi cunoscut de expeditor
sau de către destinatar. În plus, un mesaj poate fi interceptat, modif icat și retr imis.
Pretty Good Privacy (PGP) este un program de securitate care pune la
dispoziția utiliza torilor securita te avansată pen tru m esaje de e-m ail și fișiere, prin
utiliza rea se mnăturilo r digitale și a crip tării. Implem entat în m od corespunz ător, PGP
oferă servicii de confiden țialitate, integritate și autentif icare.
Program ul original PGP a fost cr eat de Philip Zimmer mann. Inten ția PG P a fost
aceea de a oferi un m ecanism pentru com unicare secu rizată între mai multe perso ane
cunoscute. Acest program utilizează atât tehnologia de cr iptare cu cheie public ă cât și pe
cea de crip tare cu cheie privat ă. PGP folose ște algoritm ul de 128 bi ți IDEA pentru
criptarea sim etrică a m esajelor. Ve rsiunea 5 și mai mari suportă algor itmii CAST și
Triple -DES, iar v ersiunea 7 im plem entează o versiune a Twofish. Cheia secret ă este
generată pentru fiecare m esaj sau fi șier c riptat. Prin f aptul că nu reu tilizea ză cheia
secretă, reduce șansele d e reușită ale crip t-analizei (stud ierea recuper ării unui text dintr-
un format criptat fără accesul la cheie).
83

Securitatea siste melor informatice
PGP suport ă algo ritmii de c riptare cu ch eie publică RSA, DSA și Diffie-
Hellm an. Algoritm ii de hash suportați sunt MD5, RACE Integrity Pr imitive s
Evaluation-Message Digest (RIPE MD) și SHA-1.
Aplicația PGP Desktop Security cuprinde o serie de facilit ăți de secu ritate m ult
mai avansate decât ar fi necesare u nui sistem de e-m ail, printre car e sunt cuprinse un
sistem personal de detec ție a intrușilor, un firewall person al, com unicare bazat ă pe VPN
sau IP Secu rity (IPSec), criptarea discului cu PGP și suport pentru cer tificate digitale
X.509v3.
În m omentul de fa ță, PGP trece prin procesu l de standardizare al IET F sub
forma OpenPGP, definit prin RFC 2440.
Expedierea m esajelor PGP nu este com plicată – în prim ul rând, m esajul este
criptat cu o cheie aleato are sim etrică a sesiunii. Cheia sesiun ii este criptat ă apoi cu ch eia
publică a destinatarului. În cazul în care m esajul este semnat, acesta este s emnat cu
cheia privat ă a expedito rului. Cheia cripta tă a sesiunii este apoi tr imisă destinatarului
împreună cu m esajul c riptat. În mom entul rec epționării mesaju lui cr iptat cu PGP se
desfășoară procesul invers . PGP utilizeaz ă cheia privat ă a destinatarului pentru a
decrip ta ch eia ses iunii. În cele d in urmă cheia s esiunii es te utiliza tă pentru a decripta
mesajul, iar clien tul de e -mail afișează textul clar al m esajului.
Una din problem ele privito are la cheia public ă de crip tare este aceea de
încreder e în acea cheie p ublică. Pentru ca o criptare cu cheie p ublică să ofere s ecurita tea
adecvată, utilizato rii tre buie să fie siguri de faptul c ă cheia public ă cu care se face
criptarea ap arține într-a devăr destin ataru lui intenționat. PGP încearc ă să rezolve aceast ă
problemă prin utilizarea unui m odel în care persoanele se încred reciproc. Aceast ă
încred ere (trust) es te ex prim ată prin sem narea cheii PGP apar ținând altei persoane. În
realitate, orice uti lizator PGP devine Certificate of Authority prin sem narea altor chei
pentru alți utiliza tori. Î n modelul de încredere PGP nu exist ă nici o diferen ță între
semnarea unei chei în ca litate de CA sau de utilizator, lu cru care dif eră semnificativ în
scenariul infrastructu rii cu cheie pu blică, în care num ai o autorita te de certificare p oate
să-și exp rime încrederea într-o cheie public ă. Pe măsură ce alți utiliza tori sem nează cu
cheia unui utilizator anum e și acel utilizator sem nează alte chei, se creeaz ă o plajă de
încred ere.
Această încredere este b azată atât p e încrederea acordat ă unei chei pu blice ca
fiind sau nu autentic ă cât și pe încred erea aco rdată altor perso ane care au sem nat cheia.
Acest lucru poate ridica problem e, deoarece cheile ar trebui s ă prezin te încredere numai
în cazul în care exis tă o persoan ă cunoscută și de încredere care a sem nat deja cheia. În
alte cazuri, singura posibilitate de a ști că o cheie es te auten tică este obținerea aces teia
printr-un mecanism foarte s igur, p recum o întâln ire față în f ață. Acest m odel de
încred ere e ste po trivit pentru mesajele inf ormale trim ise prin Internet, da r nu se
potrivește într-un s cenariu de afacer i în care se cere n erespingerea și contab ilizarea
utilizatorilor.
Revocarea cheilo r PGP care nu m ai prezin tă încredere poate fi de asem enea o
problemă. Singura m odalitate de prevenire a utiliz ării une i chei PGP com promise este
trimiterea unui certificat de revocare a cheii c ătre toate pers oanele care ar putea utiliza
acea ch eie. Acest certifi cat de revo care ar pu tea fi plas at pe un keyse rver pentru a
avertiza u tilizatorii în privin ța cheii. Deoarece ch eile pot fi s tocate și într -un inel d e chei
(key ring) pe m așina lo cală, nu exist ă nici o ga ranție că toate persoanele vor prim i
avertism entul și nu vor m ai utiliza a cea che ie comprom isă.
84

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
Versiunea 7 a PGP De sktop Security introduce și suport pentru certificatele
digitale X.509v3, perm ițând as tfel P GP să partic ipe în infrastructura d e chei pub lice și
să se depărteze (eventual) de m odelul de secur itate al PGP (plaja de încred ere).
Deși criptog rafia utiliza tă de PGP es te pu ternică, există o mu lțime de atacuri ce
se pot ap lica îm potriva acestu ia. U n tip de atac este cel reprezen tat de atacurile prin
dicționare as upra frazei d e trecere din PGP, prin încercarea fiec ărui cuvânt din dic ționar
și a com binațiilor.
Securitatea central ă a PGP este dat ă de pu terea frazei de trecere și de protec ția
cheii priv ate. Pentru ca f raza d e trecere să prezinte secu ritatea adecvată, ar trebui s ă aibă
o lungim e suficientă, nu ar trebui s ă utilizeze cuvinte com une din dic ționare și ar tr ebui
schim bată frecvent.
În ceea ce prive ște cheia privat ă, cât tim p aceasta este stocat ă pe un calculator ( și
nu pe un smart card, de exem plu), protec ția acesteia es te de asem enea i mportan tă.
Pe lângă acestea, m odelul de încredere recip rocă în cheile PGP este pred ispus la
erori, iar p entru ca aces ta să lucreze în m od corect trebu ie ca exped itoru l să creadă că
cheia pub lică este auten tică, aparține utilizatorului real și nu a fost m odifi cată.
7.2.13. S/MIME
Ca și PGP, Secure / Multipurpo se Internet Mail Extensions (S/MIME)
încearcă să rezolve pr oblem a trim iterii de m esaje într e părți care nu s-au întâln it
niciodată prin inte rmediul c riptării. De asem enea, rezolv ă prob lema integrității
mesajului, verif icării m esajulu i și a nerepudierii prin utilizarea sem năturilo r digitale.
S/MIME nu ofer ă criptarea la nivel de sesiun e precum SSL, ci securizeaz ă
mesajele in dividua le. Acest proto col este de pref erat în utilizar ea e-m ail, în care
destin atarul nu este d isponibil în m omentul în care m esajul a f ost trim is.
Utilizând S/MIME, un m esaj poate f i cripta t, semnat digital sau se p ot alege
ambele variante. De și S/MIME nu este lim itat la se curiz area m esajelor de e -mail,
aceas ta a fos t principala sa utilizare pân ă în m omentul de fa ță. S/MIME a fost aplicat de
asem enea în Electronic Data Interchange (EDI), tran zacții online și mesagerie
securizată în aplic ații.
Modelul S/MIME este bazat pe teh nologia creat ă în 1995 de c ătre RSA Dat a
Security împreună cu un grup de dezvoltato ri de software, în tre care Nets cape, VeriSign
și alții. S/MIME este bazat pe Standard ul de crip tografie cu cheie public ă nr. 7
(PKCS#7 – un set de standarde utilizat pentru implem entarea sistem elor de criptare cu
cheie pub lică) pentru trim iterea m esajelo r și pe X.509v3 pentru ce rtificate digitale.
S/MIME ofer ă îmbunătățiri de secu ritate f ață de standardul MIME. Am bele sunt
definite p rin RFC-uri:
• RFC 1847: Securizarea Multip arte p entru M IME;
• RFC 2045: MIME partea întâi: formatul corpurilor de m esaje din MIME;
• RFC 2046: MIME partea a doua: tipurile m edia;
• RFC 2047: MIME partea a treia: extensiile antetelor de m esaje pentru text Non-
ASCII;
• RFC 2048: MIME partea a patra: procedurile de înregistrare;
• RFC 2049: MIME partea a cincia : criterii de confor mare și exem ple;
• RFC 2183: com unicarea inform ațiilor de prezen tare în m esajele Inte rnet;
• RFC 2630: sintaxa m esajelor criptate;
• RFC 2632: gestiunea certif icatelor S /MIME V3 ;
85

Securitatea siste melor informatice
• RFC 2633: specifica țiile S/MIME V3;
• RFC 2634: servicii îm bunătățite de securitate pentru S/MIME.

S/MIME ex tinde M IME prin of erirea de s ervicii de secur itate în tre c are se
numără autentif icare a și integr itatea prin utilizare a sem năturilor digitale și
confidențialitate a prin u tilizarea criptării.
MIME es te stand ardul pentru trimiterea fișierelor p rin e-mail în In ternet prin
care s e permite trim iterea de m esaje având d iferite se turi de cara ctere și codarea și
decodare a obiectelor de tip m ultimedia și de tip binar pentru a putea f i trim ise prin e-
mail. Tipurile predefinite MIME cuprind docum ente W ord, fișiere PostScript sau fi șiere
audio WAV. Codarea MIME este f ăcută utilizând diferite m etode în m omentul trim iterii
mesajului, la recep ție aceste părți fiind decodate în form atul orig inal. P entru aceas ta se
adaugă fiecărui fișier câte un ante t în ca re su nt desc rise datele con ținute precum și
metoda de codare utilizat ă.
Deoarece M IME este o specifica ție matură și bogată utiliza tă pentru tr imiterea
de conținut diferit prin Internet, îmbun ătățirea acestuia are sen s prin adăugarea de
facilități de securita te în locul c reării unui nou standard, com plet diferit.
7.2.13.1. Funcționarea S/MI ME
Pentru a pu tea trim ite mesaje securizat e de tip S/MIME, a tât exped itorul cât și
destinatarul trebuie s ă utilizeze clien ți care cu nosc acest standard, p recum Outlook,
Outlook Express sau Netscape C ommunicator. În plus, fiecare u tilizator trebu ie să
obțină un certificat digital îm preună cu cheie p rivată corespu nzătoare.
S/MIME es te un sistem de cr iptare hib rid care utilizeaz ă atât algoritmul de
criptare cu cheie public ă cât și pe cel de criptare cu cheie p rivată. Crip tografia cu ch eie
publică este prea len tă pentru criptarea datelor brute, dar, în acela și tim p, este dif icil de
distribuit ch eia privat ă în m od securizat f ără criptografia cu cheie public ă. În standardul
S/MIME criptografia cu cheie pub lică este utiliz ată pentru schimbarea c heilor sim etrice
și pentru semn ături digitale (ne cesită certificatele X.509). De asem enea, specifica țiile
S/MIME recom andă utiliza rea a tre i algo ritmi de criptare: DES, Triple -DES și RC2.
Securitatea unui m esaj criptat cu S/ MIME depinde în principal de mărimea cheii
utiliza te de algor itmul de cr iptare. Un as pect interesan t al S/M IME este acela c ă
destinatarul unui m esaj, și nu ex pedito rul ac estuia, de termină metoda de criptare
utiliza tă, bazându-se pe infor mațiile of erite de ce rtificatele digita le.
Trim iterea m esajelor S/MIME presupune o serie de pa și. In prim ul rând, m esajul
este crip tat cu o che ie de sesiune generat ă în mod aleator. Apoi , cheia ses iunii este
criptată utilizând cheia public ă a de stinataru lui. Această cheie a fost fie schim bată în
prealabil, fie a fost reg ăsită într-un serviciu director de tip LDAP. Pasul urm ător este
constituit de îm pachetar ea m esajului crip tat, a cheii de ses iune a identificato rilor de
algoritm precum și a altor date într-un obiect bi nar de formatat în concordan ță cu tipul
PKCS#7. Acest obiect astfel cr eat este codat într-un obiect MIME utilizând tipul de
conținut application/pkcs7-mime, după care m esajul este expediat. L a recepționare,
plicu l digital este de sfăcut, iar cheia privat ă a destinataru lui decripteaz ă cheia d e
sesiune, care este utilizat ă pentru a d ecrip ta mesajul.
Datorită suportului dat de dezvoltatori, S/MIME se pare c ă va fi standardul de
securita te al e-m ail. S/MIME joac ă de asem enea, un rol cheie în strategia Microsoft
Windows 2000/Exchange 2000.
86

Cap. 7 – Tehn ici, servicii și soluții de securi tate p entru Intranet-uri și portaluri
S/MIME și PGP o feră ambele m etode eficiente de securitate pentru criptarea
mesajelor d e e-m ail. Spre deoseb ire de PGP, care s-a b azat până la versiunea 7.0 pe
modelul de securita te al plajei de încredere, S/MIME are ca avantaj principal utilizarea
infrastru cturii cu chei publice (PKI) și a certificatelo r digitale. De as emenea, S/M IME
este in tegrat în m ai mulți clienți de e-m ail, în timp ce PGP necesit ă descărcarea și
instalarea unui plug-in.
7.2.13.2. Riscuri de securitate ale S/MIME
Pentru a func ționa eficient, S/MIME trebuie să utilizeze chei de lungim e mare și
algoritm i de crip tare puternici, precu m Triple -DES. În m ulte cazuri în care se expediaz ă
mesaje de e-m ail prin aplicații care supo rtă S/MIME, singurul fo rmat de criptare
disponibil este RC4 (40 bi ți), care nu ofer ă o lungim e suficient ă pentru secu ritatea
minimă.
De asem enea, S/M IME are acelea și problem e ca și PGP – pentru o com unicație
securizată, trebuie s ă existe un nivel de siguran ță asupra cheii cu care se face criptarea.
La fel ca și la PGP, cheia secret ă trebuie să fie s ecurizată din punct de vedere fizic.
7.2.14. Utilizarea f irewall-urilor în intra neturi
Zidurile de protec ție joacă un rol semnificativ în m anage mentul securit ății unui
intranet. Un zid de protec ție este un dispozitiv sau o aplica ție care co ntrolează cursul
comunicației într e rețeaua intern ă și o rețea ext ernă precum Internetul. Un zid de
protecție (Figura 7.1) serve ște câtorva scopuri:
• acționează ca filtru de in trare pentru traf icul Inter net către serverele organ izației,
prevenind ajungerea pachetelor n eautorizate în serverele de w eb și de ap licații;
• oferă conexiuni prin proxy c ătre In ternet, m enținând autentif icarea u tiliza torilor
interni;
• jurna lizează traficul, of erind un suport pe ntru audit, raportare, ca și pentru
planif icare.

Fig. 7. 1: Amplasarea Fir ewall-ului
Firewall-urile nu func ționează fără riscuri. Acestea sunt în general dificil de
penetrat, dar dac ă au fost depășite, rețeaua in ternă este deschis ă pentru intrus. În plus,
un firewall nu poate rezolva com promisurile din re țeaua internă. Aproxim ativ 70% di n
breșele de s ecuritate au loc în in teriorul com paniei, ad ică sunt create de persoane de
87

Securitatea siste melor informatice
dincolo de zidul de protec ție. Un exem plu poate fi utilizarea unui m odem și a unei
conexiuni dial-up.
În practic ă au fost observate urm ătoarele riscur i cu priv ire la f irewall-uri:
• porturile – regulile de filtrare sunt bazate pe porturi surs ă și destin ație. O mașină
care utilizeaz ă TCP/IP are 65535 porturi virtuale, din care unele sunt utilizate de
către anum ite servicii;
• rutarea – această opțiune IP perm ite utiliza torilo r să defineasc ă modalitatea de
rutare a pachetelo r.
• SOCK – reprezin tă o bibliotec ă de aplic ații proxy utilizate pentru a perm ite ca
anum ite servicii s ă fie utiliza te și pentru a ține in trușii în afară;
• scanare RPC direct ă – portm apper este un se rviciu c are permite utiliza torilo r să
identifice po rturile p e care rez idă apelurile de proceduri la distan ță;
• scanare ascuns ă – un intrus nu încearc ă să stabilească o conexiune ci utilizeaz ă
pachete la n ivel de inte rfață. Aces te pachete n e dau răspunsuri diferite, în func ție
de calita tea portulu i (deschis sau nu ).
• protocoale f ără conexiune – firewall-urile au dificult ăți în detectarea pach etelo r
utilizate în s ervicii care nu necesit ă stabilirea unei cone xiuni, precum UDP;
Pentru Intraneturi este n ecesară exis tența unui sistem de detectare a intruziunilor
cu scopul protej ării perim etrului rețelei de atacu ri. Sistemele de detectare a intrușilor pot
fi instalate ca și sonde sau ca agen ți. Sondele sun t mult mai eficiente în ceea ce prive ște
detectarea intruziunilo r deoarece m inimizează impactul asu pra sistem elor existen te prin
ascultarea p asivă și rapo rtarea către consola central ă, fără întrerupere.
Servic iile de detec tare a intrușilor execută la nivel de dispozitiv de re țea
următoarele func ții:
• inspecteaz ă șirul de date care trec prin re țea, identifică sem năturile ac tivităților
neautorizate și activea ză procedurile de ap ărare;
• generează alarm e în cazul detect ării evenim entelor, n otificând personalu l
necesar de s ecuritate;
• activ ează un răspuns au tomat în cazu l anum itor problem e.
Pe lângă detectarea in trușilor m ai poate f i luat în conside rare și un agregator
proxy de tip TCP care va îm bunătății securitatea prin firewa ll prin limitarea portu rilor
expuse.
Tunneling-ul și crip tarea sunt utilizate pentru a crea re țele punct-la-punct, în
genera l fiind utilizate p rotocoa le precum Layer 2 Tunneling Protocol (L2TP), Point- to-
Point Tunneling Protocol (PPTP), IPSec, precum și standarde de criptare cum sunt
DES, MD5, Triple DES, etc.
Codurile m obile de program precum Java și ActiveX creeaz ă o am enințare în
creștere. Aplica țiile ca re inspec tează conținutul trebuie s ă:
• ofere contro l asupra cod ului m obil Java, Active X sau altu l;
• prevină atacurile prin co d mobil;
• activ eze navigarea în siguran ță, utilizând în acela și tim p facilitățile Java și
ActiveX.

În concluzie, m anage mentul securit ății are o necesitate din ce în ce m ai ridicată,
atât în rețele de tip in tranet câ t și în alte tipu ri de rețele de colaborare, d atorită mulțimii
punctelo r de acces în re țea. În acela și tim p sunt necesare noi unelte și tehnici, câ t și o
combinare a acesto ra pentru a oferi s iguranța maximă posibilă.
88

8. Strategii de achizi ție pentru ap ărare
8.1. Introduc ere
Inform ațiile despre com erțul electronic Business-to-Business (B-B) își croies c
drum în ziare, reviste econom ice sau în știrile de la telev iziuni. Ma joritatea aces tor
informații sunt centrate pe achizi ții electronice ( e-procurement ) sau partea de cum părare
a com erțului electronic pentru c ă analiștii au confirm at faptul c ă firm ele ce au
implem entat sistem e de achizi ții electronice au în regis trat eco nomii.
Indiferent din ce dom eniu este o firm ă, achizițiile sunt o i mportantă funcție
econom ică, acest lucru este v alabil și pentru unit ățile din dom eniul apărării. Deoa rece
achizițiile in tervin la în ceputul lanțului valoric, impactul deci ziilor de aprovizionare se
amplifică pe măsură ce un produs curge spre destina ția finală: utiliza torul. Achizi țiile
implică două tipur i de cheltu ieli. O catego rie se ref eră la cos tul materialelor cum părate.
A doua se refer ă la cos tul procesu lui de achizi ție. Acesta cu prinde cos turile tran zacției,
adică cele cu persona lul im plicat în pro ces, cheltu ieli indirecte aferente c ăutării,
comparării, negocierii de surse de achizi ție. Soluțiile de ach iziție electronice pot avea un
efect substan țial asupra am belor categorii.
Comerțul electron ic rep rezintă schimbul de inform ații de afaceri, f ără ajutorul
hârtiei, utilizând schim bul electronic de date ( Electronic Data Interchange ), poșta
electronic ă (e-mail ), buletinele electronice, transf erul electronic de fonduri ( Electro nic
Funds Transfer ), precum și alte tehnologii sim ilare. Sc himbul electronic de date
reprezintă schimbul, între calculato are, a inform ațiilor privind tranz acțiile din af aceri,
folosind un form at standard public.
Introducerea conceptului de e-business perm ite organiza țiilor militare să
considere co merțul electronic nu numai în viziunea tradi țională de achizi ție și plată prin
utilizarea tranzac țiilor s tandard. Co nceptul p ermite luarea în consid erare a re lațiilor
dintre un consum ator și un fur nizor și oferă avantajele date d e îmbunătățirea
semnificativă a procesului, disponibil ă prin implem entarea conceptelor și tehnologiilor
de afaceri electronice și comerț electron ic. Acest lucru duce la extinderea aplica țiilor
funcționale de la furnizare, achizi ție și contabilita te, la cele legate de alte dom enii cu m
ar fi sănătatea, personalul, sistem ul de achizi ții și știința și tehnologia.
Politica o rganizațiilor m ilitare în ceea ce p rivește introd ucerea în activitatea
curentă a co nceptelor e-business și e-commerce trebuie să aibă în vedere:
• utiliza rea c oncepte lor și tehnolog iilor de e-business și e-commerce în
îmbunătățirea proceselo r de afaceri și în efortur ile d e reinginerie; aces t lucru
perm ite introducerea procedeelor de pe pia ța com ercială în disem inarea
informațiilor în formă electron ică persoanelor în drept, la m omentul potrivit, în
scopul redu cerii duratei procesulu i; în acest sens, organiza țiile m ilitare vo r
desfășura următoarele activit ăți:
o implem entarea ini țiativelor e-bus iness și e-commerce care în corporeaz ă
„cele m ai bune practici în afaceri” în vederea ob ținerii eficienței și pentru
prom ovarea eficacit ății operaționale pentru redu cerea semnificativ ă a
timpilor de răspuns;
o facilitare a utilizării în co mun a date lor și integrarea p roceselor de afaceri
între organ izațiile m ilitar e și partenerii de afaceri;
89

Securitatea siste melor informatice
o implem entarea de solu ții deschise flexibile și interope rabile care să nu
interzică sau să îngreuneze utilizarea pe scar ă largă de soluții tehnologice
noi sau com petitive;
• utilizarea p e scară largă de stand arde e-bus iness și e-commerce indu striale și a
produselor com erciale – COTS ( commercial-o ff-the-shelf );
• implem entarea solu țiilor de secur itate e-busin ess și e-commerce care vor perm ite
securitatea date lor pe baza cerin țelor statu tare și ale utiliza torilor, fără
degradarea proceselor curent e pe care le înlocu iesc;
• stabilirea și utilizarea de oportunit ăți de afaceri electron ice c are an gajează
princ ipii, co ncepte și tehnologii de e-business și e-commerce în conducerea și
administrare a proces elor m ilitare și de afaceri;
• aplicarea p roceselo r de e-business și e-commerce în vedere a intero perabilității
cu partenerii de afaceri p entru integ rarea cu s ectorul priv at;
• protejarea propriet ății intele ctuale; garantarea integr ității datelor și dreptul la
confidențialitate a lor;
• cooperarea cu alte m inistere și agenții pentru dezvoltarea și implem entarea unei
arhitectu ri operaționale e-bus iness și e-com merce în spr ijinul programelor
guvernului din dom eniu;
• asigurarea confor mității cu politica d e achiziție a M.Ap.N. și a instruc țiunilor de
achiziție.
8.2. Strategii de securitate ale r ăzboiului informa țional
Securitatea este recuno scută ca f iind un conc ept m ultidim ensional a șa înc ât,
toate dom eniile de activ itate (politic ă, diplom ație, econom ie, apărare, c ultură, știință
etc.) își iau măsuri care s ă asigure prom ovarea intereselor specifice fiec ăreia. Ace ste
sectoa re de activ itate nu există independent unul de celalalt, leg ăturile d intre ele f iind
vitale pentru func ționarea optim ă.
În acest co ntext, politica de secu ritate națională este ob ligată să țină cont de
aceas tă realitate. Fiind v orba de un s istem al cărui echilib ru și funcționare optim ă este
de dorit, politica în acest dom eniu va trebui s ă funda menteze, în plan teoretic și să
întreprindă în plan practic, acele m ăsuri necesare pen tru prom ovarea interes elor
naționale fundam entale și apărarea lor împotriv a oricăror agresiuni, pericole,
amenințări, riscuri.
Faptul că informația și tehnologia schim bă natura conflictelor nu este un lucru
nou, dar accentuarea, în prezent, a ro lului inform ației, ca instrum ent de putere,
determ ină modificări extrem de importante nu num ai în activitatea unui serviciu de
informații, ci și la nive lul politic ii de apărare, în activ itatea organiz ațiilor militare și în
dezvoltarea inf rastru cturii inf ormaționale m ilitare.
Războiul și operațiile inf ormaționale sun t realități deja consacra te în spațiul
euro-a tlantic, și nu num ai. Capacitățile în a cest d omeniu cons tituie, pen tru țări cum este
și Rom ânia, soluții de contrabalansare a asim etriilor de putere.
Acțiunile de natur ă informațională (în practic ă, ope rații inf ormaționale) au și vor
avea lo c pe tot p arcursul ciclu lui pace-criz ă-conflict-p ace. Este, așadar, es ențial ca
Rom ânia să dispună de capacit ăți permanente de avertizare, evaluare, analiz ă și ripo stă,
precum și să întrețină o stare continu ă de ajustare structu rală și doctrinar ă, care să-i
perm ită realizarea interes elor naționale în acest mediu informa țional.
90

Cap. 8 – Strategii de ac hiziție pent ru apărare
În societatea infor mațională, inform ația ca armă, țintă și materie pr imă strategică
stă la baza tuturor deciziilor. Adaptarea la acest nou m ediu (în care fluxul de inform ații,
în tim p real, este în c ontinuă creștere) presupune în țelegerea unor riscuri în zona
manage mentului inform ațional. O ex emplificare a aces tui lucru es te faptu l că operațiile
informaționale, așa cum sunt ele co nceptualizate în doctrinele eu ro-atlan tice, au ca țintă
de bază ciclul decizional.
Evoluția rap idă a tehnologiei informa ției a mărit discrepan ța dintre capaci tatea
de producere și cea de utiliza re a informației. S porire a cantității inf ormațiilor nu atrage
după sine și creșterea calit ății lor, iar deținerea unor inform ații de calitate nu este
sinonimă cu capacitatea de valorificare a lo r.
Din perspectiv ă civilă, conceptul de r ăzboi informațional atrage dup ă sine o
multiplicar e a rapo rturilor de f orță, în timp ce în p lan m ilitar există o apar entă limitare a
acesto ra (restrâng erea put erii militare, dato rită reducerii caracteru lui v iolent al
confruntărilor). Între c ele două perspectiv e există și puncte com une. În prim ul rând, un
aliat poa te fi în ac elași timp și adversar (de unde natura dual ă cooperare – concuren ță).
În al doilea rând, r ăzboiul inform ațional stabile ște un nou raport între realit ățile de ordin
strategic, tehnic (prezen ța tot m ai mare a inf ormaticii și a rețelelor in formaționale) și
simbolice.
În sens larg, războiul inf ormațional presupune integrarea a șapte f orme dif erite
de dom enii și disc ipline:
• războiul de comand ă și control (forma exclusiv militară a războiului
informațional) – are m enirea să anihileze com anda și sistemele de com andă și
control ale unui adversar prin integrarea opera țiilor ps ihologice, a securit ății
operațiilor, a inducer ii în eroar e, a războiului electronic și a dis truger ii fizice;
• războiul bazat pe informa ții (intelligence) – constă în pro iectarea, pro tecția și
anihilarea s istem elor care con țin suficiente cuno ștințe pentru a dom ina un spa țiu
de conflict;
• războiul electronic – u tilizează tehnologie electronic ă și tehnici cripto grafice
pentru dom inația spațiului ele ctrom agnetic ;
• războiul psihologic – utilizea ză infor mația pentru a m odifica a titudinile și
opțiunile am icilor, neutrilor și adversarilor;
• războiul ha cker-ilor – constă în atacuri pasiv e și active, cu software „m align”,
asupra s istem elor inform atice;
• războiul în sfera inform ațiilor econ omice – urmărește blo carea sau canalizarea
informațiilor, în scopul o bținerii supr emației econ omice;
• războiul în spa țiul re alității vir tuale – creeaz ă, în p rezent, im agini a le
"realităților"potriv it inte reselor acto rilor im plicați.

În contextul r ăzboiului inform ațional, secur itatea informa țională (INFOSEC –
Information Security ) repre zintă protecția și apărarea inform ațiilor și sistem elor
informaționale îm potriv a accesu lui neautorizat, a m odificării conținutului inform ațiilor
aflate în faza de s tocare, prelucrare sau tran sport și pentru as igurarea a ccesu lui
utiliza torilor autor izați către aces te inform ații. INFOSEC cuprinde acele m ăsuri
destinate pentru descoperirea, informarea și contracararea a cestor tipuri de ac țiuni.

Componentele INFOS EC sunt:
• securitatea echipam entelor de calcul (COMPUSEC – Computer Security );
91

Securitatea siste melor informatice
• securitatea com unicațiilor (COMSEC – Communications Security și
TRANSEC – Transmission Security ).

COMPUSE C cuprinde acele m ăsuri și elemente de co ntrol care asigur ă
confidențialitate a, integ ritatea și disponibilitatea infor mațiilor prelucrate și stocate cu
ajuto rul calculato arelor. Aceste m ăsuri includ proceduri și instrum ente hardware și
software necesare pentru prot ejarea sistem elor infor matice și a inf ormațiilor stoc ate în
cadrul aces tora.
COMSEC cuprinde acele m ăsuri de stina te împiedicării accesului ne autoriza t la
informațiile care pot f i preluate din sistem ele de com unicații, precum și asigurarea
autenticității coresponden ților pe aceste lin ii. Folosește scram blarea sau tehnic ile
criptografice pentru a face inform ația neinte ligibilă pentru personalul neautorizat care
intercepteaz ă com unicația.
Criptogr afierea es te pro cesul de c riptare (tr anslatar e) a inf ormației într- un m esaj
aparen t aleator la em ițător, și apo i de descif rare a m esajului alea tor pr in decrip tare la
recep tor. Tehnologiile electron ice actuale perm it desfășurarea autom ată a procesului de
criptare/decriptare. Proc esul im plică folosire a unui algo ritm m atematic și a un ei ch ei,
pentru trans latarea inform ației din clar în s tare cripta tă.
În sis temele de com unicații vocale, care nu necesită securitate ridicat ă,
informația poate fi protejat ă împotriva inter ceptării și prelucrării prin s cramblarizare. În
acest caz, s cramblarea, ca tehn ică COMSEC a nalogică, implică separarea sem nalului
vocal într-un num ăr de sub-benzi și trans latarea fiec ăreia într-un a lt dom eniu al
spectru lui d e audiofrecv ență, urm ată de com binarea sub-b enzilor într-un sem nal audio
compus, care m odulează emițătorul.
În crip tarea digita lă, datele sunt reduse la un flux de date binar. Mecanism ul
criptografic creeaz ă un flux de num ere binare ne-repet itiv, extrem de lung, pe baza unei
chei de criptare a traficului (TEK – Traffic Encry ption Key ). Fluxul de date este ad ăugat
celui c riptografic, cre ând datele cr iptate sau textul cifrat. Un flux binar creat în acest
mod este in erent im predictibil, furnizând de aceea o m etodă foarte sigur ă de pro tejare a
informației. Toate sem nalele an alogice sunt m ai predictib ile și de aceea m ai puțin
sigure.
Eficacita tea crip tării datelor, care este gradu l de d ificultate în d eterminarea
conținutului m esajului, e ste funcție de com plexitatea a lgoritmului m atematic și de chei.
Cheia es te o variabil ă care m odifică resincronizarea algoritm ului, protejarea
acesteia fiin d vitală. Chiar în situ ația în care se realizeaz ă accesul la info rmația criptată
(și se cunoa ște algoritmul), de c ătre persoane n eautor izate, este im posibilă decriptarea
informației dacă nu se cunoa ște și cheia. Acesta este unul din considerentele pentru care
e necesar ă dezvoltarea unor proceduri riguroase de m anagem ent al cheilor, în scopul
protejării, distribu irii, stocării și folosirii che ilor.
Un tip de sistem de m anagem ent al cheilo r, folosit în secto rul com ercial public ,
este criptog rafia cu chei publice. Co nform acestui standard, fiecare utilizator genereaz ă
două chei. U na este cheia public ă "Y" iar cea laltă este ch eia p rivată "X". Utilizând ac est
sistem se p oate tran smite de oriund e un m esaj crip tat cu cheia Y, care îns ă poate fi
decrip tat nu mai de către operato rul care de ține cheia X. Astfel, într-o re țea care
folosește acest sistem de chei publice, sunt posibile com unicații secretizate pe dou ă
nivele, acesta fiind denum it sistem de chei asimetric . Alterna tiva sa es te sistemul de chei
simetric , în care cu aceea și cheie s e criptează și decr iptea ză datele. Deoarece atât cel
92

Cap. 8 – Strategii de ac hiziție pent ru apărare
care em ite m esajul cât și toți cei care îl p rimesc trebuie s ă aibă aceleași chei, acest
sistem oferă cel m ai înalt nivel de securitate.
O soluție recent dezvoltat ă, aplicabilă rețelelor radio folose ște reprog ramarea
prin legătură radio (OT AR – Over The Air Rekeying ).Această tehn ică aproape elim ină
necesitatea înc ărcării m anuale a ch eilor și realizeaz ă un m anagem ent sigur al cheilor.
OTAR este un sistem de distribu ire a cheilor și include o cheie de crip tare a
cheii (KEK – Key Encryption Key ), folosită pentr u cripta rea c heii de cr iptare a traf icului
și oricăror alto r chei o peraționale COMSEC s au TRANSEC. Acest proces m ai este
denum it și "îm pachetare" pentru a fi diferen țiat de criptarea traf icului. Singura cheie
care trebu ie încărcată inițial atât în unitățile emițătoare cât și în cele recep toare este
cheia KEK.
După "îm pachetare", distribuirea, procesul care u rmează, poate folosi orice
mijloace fizice s au electron ice. Într-un si stem OTAR, cheile "împachetate "sunt
introduse într-un m esaj și trimise prin leg ătură radio sta ției dorite, folosind protocoale
de tr ansm isie fără erori (deoarece orice eroare ar face cheile d e nefolosit). Legătura
folosită pen tru tr ansm isie este în genera l secr etizată cu ajutorul cheii de criptare a
traficului (T EK) utiliza tă. Astfel, con ținutu l cheii es te dub lu prote jat la transm isia prin
legătură radio, elim inându-se practic orice posibilitate de comp romitere. P entru un grad
de securitate m ai ridicat, se obi șnuiește să se dig itizeze prin intermediul unui vocoder,
semnalul digita l rezu ltant fiind a poi tratat ca orice flux de date.
TRANSEC folosește un num ăr de tehnici pentru a preveni detec ția sau bruierea
semnalului pe traseul de transm isie. Aceste tehnici includ fie "asc underea" canalului, fie
transform area aces tuia în tr-o țintă în continu ă mișcare.
Pe term en mediu și lung, o stra tegie coerent ă de acțiune pentru opera ționalizarea
securității informaționale va trebui s ă vizeze dezv oltarea conceptual ă și metodologic ă a
domeniului, cu accen t pe:
• delim itarea granițelor conceptuale (caracteristici, forme, aspecte etc.) și definirea
cadrului epistem ologic de abordare;
• studierea dinam icii m odelelo r form ale ale războiului inform ațional și ada ptarea
acesto ra la contextu l geo politic, la in teresele și resursele Rom âniei;
• identificarea factorilor d e risc în raport cu slăbiciunile actu ale ale S istem ului
Național d e Securitate ;
• funda mentarea teoretic ă a unui ansamblu de structuri care s ă perm ită abordarea
instituționalizată a dom eniului războiului inform ațional;
• formularea unei strategii integ ratoare, la n ivel național, ca re să ofere
coordonatele pe term en lung ale dezvolt ării dom eniului securit ății
informaționale.

93

Securitatea siste melor informatice

Aplicații practice
94

Laborator Securitatea sistemelor inform atice Lucra rea nr.1

1 Criptarea ca metod ă de securitate a informa țiilor
1.1 Obiective:
ƒ înțelegerea și familiariza rea cu tehnic a de cr iptare prin che ie secretă;
ƒ realizarea cript ării și dec riptării m esajelo r folosin d metoda cif rului lui Cez ar;
ƒ realizarea cript ării și dec riptării m esajelo r folosin d metoda cif rului lui Ver nam;

În prezen t există două tipuri pr incipale de te hnici utiliza te în crip tografie, și
anum e:
• criptografia prin cheie s imetrice (chei secrete sau chei private) și,
• criptografia prin chei asim etrice (chei publice).

În cazul cheii sim etrice, atât exp editorul cât și destinatarul mesajului f olosesc o
cheie com ună secretă. În cazul cheii asim etrice, expeditorul și des tinatarul foloses c în
comun o che ie publică și, individual, cât e o ch eie privat ă.
1.2 Cifrul lui C ezar
Cea m ai simplă metodă de cr iptare, prin subs tituție, este cunoscut ă în zile le
noastre sub denum irea de cifrul lui Cezar , după num ele îm păratului rom an care a
inventat-o. În acest cifru, caracterele m esajului și numărul de repeti ții ale cheii s unt
însum ate laolaltă, modulo 26. În adunarea m odulo 26, lite relor alfabetu lui latin, de la A
la Z, li se dau valori de la 0 la 25 (vezi tabelu l 4.1). Pentru cheie trebuie s ă se ofere d oi
param etri:
• D – numărul literelor ce se repet ă, reprezen tând chei;
• K – cu rol d e cheie.

Tabelul 4.1
Coresponde nța litere-numer e
Litera A B C D E F G H I JKLMNOPQRSTU V W X Y Z
Număr 0 1 2 3 4 5 6 7 8 91011121314151617181920 21 22 23 2425

Pentru a în țelege m odul de func ționare, să presupunem c ă D=3 și K = BEC, iar
mesajul secr et este "PA ROLA MEA". Atribuin d valori nu merice m esajului, din ta belul
valor ii lite relor, avem :
P A R O L A M E A
15 0 17 14 11 0 12 4 0
Valorile nu merice ale c heii sun t:
B E C = 1 4 2

După aceste coresponden țe, cheia criptat ă 142 se adaug ă literelor mesajulu i,
astfel:
Cheia reperat ă 1 4 2 1 4 2 1 4 2
Mesajul 15 0 17 14 11 0 12 4 0
Echivalentul num eric
al textului cri ptat 16 4 19 15 15 2 13 8 2
Textul criptat Q E T P P C N I C
95

Laborator Securitatea sistemelor inform atice Lucra rea nr.1

Convertirea num erelor în literele aferente alfab etului condu ce la tex tul crip tat,
așa cum se vede m ai sus: "QETPPC NIC"
În cazul cifrului lui Cezar, D = 1 și cheia este D (3), adic ă fiecare liter ă este
înlocu ită de a tre ia lite ră de după ea d in alfabet – lite rele sun t deplasate la dreapta cu trei
poziții, (A cu D, B cu E ș.a.m.d.). Criptând m esajul dat în ex emplul anterior cu cifrul lui
Cezar, ob ținem:

Cheia reperat ă 3 3 3 3 3 3 3 3 3
Mesajul 15 0 17 14 11 0 12 4 0
Echivalentul num eric
al textului cri ptat 18 3 20 17 14 3 15 7 3
Textul criptat S D U R O D P H D

Dacă sum ele valo rilor c heii și ale numărului af erent lite relor sunt m ai mari sau
egale cu 26, se determ ină modulo 26 din sum ă, adică rezu ltatul final es te obținut prin
scăderea din sum ă a numărului 26.
Exem plu:
D=3, K=PIC, m esajul e ste SECRET, rezultatu l va fi:
– valor ile nu merice atrib uie mesajulu i:
S E C R E T
18 4 2 17 4 19
– valorile num erice ale cheii sunt: P I C = 15 8 2

Cheia reperat ă 15 8 2 15 8 2
Mesajul 18 4 2 17 4 19
Echivalentul num eric
al textului cri ptat 33
(8) 12 4 32
(9) 12 21
Textul criptat I M E J M V

Valorile 32 și 33 nu au echivalent în alfabetu l latin, caz în care se calculeaz ă
modulo 26 din 32 și 33, rezultând valorile 8 și 9, iar noul echivalent num eric al textului
criptate este 8 12 4 9 12 21, iar textul criptat este: IMEJMV.
Cifrurile de m ai sus pot fi descrise prin ecua ția general ă:
C = (M + b)mod N
unde:
b = un num ăr întreg fix;
N = numărul liter elor din alfabet (26 pentru a lfabetul latin);
M = m esajul textului clar în form a num erică;
C = textul cr iptat scris în forma num erică.

Cifrul lui Cezar, bazând u-se pe subs tituția simplă sau m onoalfabetic ă este ușor
de spart, pentru c ă un c aracter este înlocuit de altul și această schim bare este valabil ă în
tot tex tul, iar analiza frecven țelor de apari ție a literelor din textele scrise ne va conduce
la caracterele adev ărate ale textului.
Cifrurile po limorfice sunt rea lizate prin apelarea la cifru ri bazate pe su bstituția
multiplă. De exem plu, dacă se folosesc tre i alfabete pentru substitu ție, definite de cel ce
intenționează să crip teze, prim a lite ră din tex tul clar es te înlocuită cu p rima literă din
prim ul alfabet, a doua liter ă a textu lui clar este înlocu ită cu prim a lite ră din al doilea
96

Laborator Securitatea sistemelor inform atice Lucra rea nr.1
alfabet, a tre ia lite ră a textului cla r este înlocuită cu prim a literă din al d oilea alfabet, a
patra liter ă din tex tul clar este înlocu ită de a doua liter ă din primul alfabet ș.a.m.d.
1.3 Cifrul lui Vernam
Cifrul lui Vernam constă într-o cheie cons tituită dintr-un șir se ca ractere
aleatoare nerepetitive. Fiecare liter ă a cheii se ad augă modulo 26 la o liter ă a mesajulu i
clar. În aceast ă variantă, fiecare liter ă a cheii se folose ște o singur ă dată pentru un
singur m esaj și nu va m ai putea fi folosită niciodată. Lun gimea șirulu i de caractere a
cheii este egal ă cu lungimea m esajului. Meto da este f oarte u tilă pentru criptarea
mesajelor sc urte.
Exem plu: criptarea m esajului: LA MULTI ANI

Mesaj clar LAMULTIA NI 11 0 12 20 11 19 9 0 13 8
Cheie Vernam VIDAGTSROL 21 8 3 0 6 19 18 17 14 11
Suma aparent ă 32 8 15 20 17 38 27 17 27 19
Modulo 26 din
sumă 6 8 15 20 17 12 1 17 1 19
Textul criptat G I P U R M B R B T

1.4 Metod ă proprie de criptare
Mircea și Vasilică vor să-și trim ită mesaje pe care al ții să nu le înțeleagă. Au
citit ei despre spioni și modalități de a scrie m esaje și, în f inal, au im aginat un m od de
criptare a un ui mesaj care folose ște “cuvânt cheie”.
Alegându- și un cuvânt cheie form at num ai din litere distincte, ei num ără literele
acestu ia și împart m esajul în grupe de lungim e egală cu numărul de lite re ale cuvân tului
cheie, și le așează una sub alta. Desigur, se poa te întâ mpla ca ultim a grupă să fie
incom pletă, așa că o co mpletează cu spații. Apoi num erotează literele cuvântului cheie
în ordinea apari ției lor în alf abetul e nglez. În f inal, res criu mesaju l astf el: coloana de sub
litera num erotată cu 1, urm ată de c oloana d e sub liter a numerotată cu 2, etc. înlocuind
totodată și spațiile cu caracterul ‘*’ (asterisc).

Exemplu:
cuvântul cheie criptam
mesaj de criptat Incercam sa lucram cu coduri si criptari.
cuvântul cheie criptam are 7 litere
numerotare 2635714
deoarece, avem , în ordine abcdefgh ijklmnopqrstuvwxzy
1 2 3 4 5 6 7
împărțire în grupe: Incerca | m sa lu | cram cu | coduri | si cri | ptari.
codificare 2635714
Incerca
m*sa*lu
cram *cu
*coduri
*si*cr i
ptari.*
97

Laborator Securitatea sistemelor inform atice Lucra rea nr.1
mesaj criptat clcrr.Im c**pcsaoiaauuii*eam d*rn*rcstr**uci
col1 col2 col3 col4 col5 col6 col7
Cerință
Fiind date un cuvânt cheie și un mesaj c riptat, decodif icați mesajul tr imis de
Mircea pentru Vasilic ă.
Date de intr are
Fișierul de intrar e criptare.in conține pe prim a linie m esajul cr iptat iar pe lin ia a d oua
cuvântul cheie.
Date de ie șire
Fișierul de intrar e criptare.out conține pe pr ima linie m esajul decr iptat.
Restricții
• lungim ea mesajului este de m inim 20 și maxim 1000 caractere
• cuvântul cheie are m inim 5 și maxim 20 de caractere
• cuvântul cheie con ține n umai litere m ici ale alfabetulu i

1.5 Desf ășurarea lucr ării
Studenții vor for ma două sau patru echipe, care vor cripta un text dat de
îndrumătorul lucrării, după care vor s chimba mesajele crip tate între ele, și vor încerca s ă
le decripteze, cunoscând cheile de criptare.
De rem arcat, că în m esajele în cla r nu se ia în co nsidera re spațiul dintre cuvinte.

98

Laborator Securitatea sistemelor inform atice Lucra rea nr.2

2 Steganografia ca metod ă de securitate a informa țiilor
2.1 Obiective:
ƒ înțelegerea și fam iliarizarea cu tehnica de ascundere a inform ațiilor prin
steganografie;
ƒ familiarizar ea și utilizarea unei aplica ții de ascu ndere a info rmațiilor în imagini
steganography;

2.2 Introducere
Cuvântul steganografie (stega nography) vine din lim ba greacă unde steganos
înseam nă ascuns și graph scris (scriere ascu nsă). Prin urm are putem spune c ă
steganografia este știința sau ar ta de a scri e mesaj e ascunse astfel încât e xisten ta lor să
fie cunoscut ă num ai de destinatar și expeditor. Acest concept î și are o riginea în vrem uri
istorice. De exem plu grecii sau ro manii foloseau stegano grafia pentru a transm ite
mesaje ascunse, și anu me râdeau p ărul celui care trebu ia să tran smită mesajul, scriau
mesajul pe pielea capului și așteptau ca p ărul să-i crească la loc. M esajul putea fi
transm is prin interm ediul trim isului, nim eni decât cei care știau unde se afl ă putându-l
citi.
Steganografia este folosit ă pentru a ascunde m esaje (fișiere) în a lte fișiere m ai
mari și anum e în im agini de tip jpg, bm p, png, în fi șiere audio (m p3 sa u wav) sau chiar
video (avi) f ără a exista posibilitatea ca o terță persoană să știe sau să afle de existen ța
lor. Totu și una dintre cele m ai cunoscute tehnici de steganografie este "cerneala
simpatică" (înscrisul devine vizibil dup ă un p rocedeu – lam pa UV, înc ălzire, etc.).
Steganografia nu trebuie confundat ă cu criptog rafia. Acesta din urm a face ca un m esaj
să devină indescif rabil, dar existen ta lui e ste vizibilă, pe când stegano grafia ascun de
existența mesajului și nu mesajul și face ca steganografia s ă fie com pletarea perfe ctă
pentru cod ificare.

Aplicația poate fi desc ărcată de la http://www.securekit.com /.

După instalare, stud enții vor efectua ascunderea unui fi șier text în spa tele unei
imagini, care poate fi jpg, bm p, tif, pgn etc.

Lansarea în execu ție a a plicației se p oate face as tfel:
Start Æ Programs Æ Steganography Æ Steganography
Mom ent în care se va deschide fereastra de m ai jos:
99

Laborator Securitatea sistemelor inform atice Lucra rea nr.2
100

2.3 Ascunderea unui fi șier

Pasul 1: Selectarea fi șierului cărăuș
În aces t prim pas se va alege fi șierul (im aginea) în care se va ascunde m esajul
(sau fișierul) secret.
Click pe butonul
, și se va alege im aginea care va ascunde m esajul.

Pasul 2: Ad ăugarea/înl ăturarea mesajului sau a fișierului
În aces t pas se selecteaz ă un fișier existen t în calculator sau se cre ează un me saj
nou care va fi ascuns. Pot fi ascunse m ai multe fișiere sau m esaje în ace lași timp.
Click pe butonul
, după care se deschide fereas tra de ad ăugat
mesaje sau fi șiere:

Laborator Securitatea sistemelor inform atice Lucra rea nr.2
1. Pentru a ascunde un fi șier deja existent s e apasă "File" și apo i "Next" ,
selectându-se de pe hard disc fi șierul dorit.
2. Pentru a ascunde un m esaj, se apas ă "New Messge" și apoi "Next",
deschizându-se fereastr a "Instant Mes sage":

Pașii de m ai sus se rep etă dacă dorim să ascundem mai m ulte fișere.

Pentru a îndep ărta un fișier sau un mesaj ce trebuia ascun s, se se lectează din
tabel și apo i se apasă butonul Rem ove,

Pasul 3: Specificarea p arolei

La final, se dă click pe butonul
pentru a porni procesul de
ascundere. Când procesul de ascundere este com plet, salvați fișierul rezu ltat.

2.4 Descop erirea unui fi șier ascuns
Pasul 1: Alegerea fi șierului purtător
Se dă click pe butonul
din dreapta și se selecteaz ă fișierul cărăuș;

Pasul 2: Introducerea parolei de a cces
Dacă la ascunderea fi șierului original s-a introdus o parol ă, acum ea trebuie
cunoscută și introdus ă.
Se apasă butonul
pentru a începe procesul de descoperire a
fișierului as cuns. Dup ă ce procesu l este term inat, în tabelul de dedesubt va apare fi șierul
ascuns în form ă clară. Pentru al deschide se d ă dublu clic pe el.

101

Laborator Securitatea sistemelor inform atice Lucra rea nr.3

3 Firewall-uri
3.1 Obiective:
ƒ înțelegerea func ționării și a rolului unui firewall în securitatea sistem elor
informatice;
ƒ pornirea și configurarea firewall-ului sist emului de operare Windows XP;

3.2 Generalit ăți/Defin iții Fire wall
Un paravan de protec ție poate ține la distanță traficul Inte rnet cu intenții rele, de
exem plu hackerii, vierm ii și anu mite tipur i de viru și, înainte ca ace știa să pună
problem e sistem ului. În plus, un paravan de protec ție poate evita participa rea
computerului la un atac împotriva altora, f ără cunoștința dvs. Utilizare a unui par avan de
protecție este im portantă în spec ial dacă sunteți conectat în perm anență la Intern et.
Un firew all este o ap licație sau un echipam ent hardware care m onitorizeaz ă și
filtrează permanent tran smisiile de date r ealiza te între PC s au rețeaua local ă și Internet,
în scopul implem entării unei "politici" de filtrare. Această politică poate însem na:
• protejarea resur selor rețelei de restul utilizatorilor din alte re țele sim ilare –
Intern etul -> sunt identifica ți posibilii "m usafiri" nepofti ți, atacurile lor asupra
PC-ului sau re țelei locale putâ nd fi oprite.
• Controlul re surselo r pe c are le vor ac cesa utiliza torii loca li.

3.2.1 Funcționar ea firewall- urilor
De fapt, un firewall, lucreaz ă îndeaproape cu un program de routare, exam inează
fiecare pach et de date din re țea (fie cea local ă sau cea ex terioară) ce va trece prin
serverul gateway pentru a determ ina dacă va f i trim is mai departe spre destinație. Un
firewall include de asemenea sau lucreaz ă împreună cu un server proxy care face cereri
de pachete în num ele stațiilor de lucru ale utiliza torilor. Î n cele m ai întâ lnite caz uri
aceste prog rame de protec ție sunt in stalate p e calculat oare ce îndeplinesc num ai această
funcție și sunt instala te în f ața routerelor.
Soluțiile f irewall se împart în dou ă mari categ orii: pr ima este repre zentată de
soluțiile profesionale hardware sau software dedicate protec ției întregu lui trafic dintre
rețeaua unei întreprinderi (institu ții -> ex.: Univ ersitate a "Alexandru Ioan Cuza", Ia și) și
Intern et; iar cea de a doua catego rie este rep rezentată de firewall-urile personale
dedicate m onitorizării traficului pe c alculatorul personal.
Utilizând o aplicație din ce-a de a doua categorie ve ți putea preîntâm pina
atacu rile co legilo r lipsiți de fair-play care încearc ă să acces eze prin m ijloace m ai mult
sau m ai puțin ortodoxe resurse de pe PC-ul dum neavoastr ă. În situația în care dispune ți
pe calculato rul de acas ă de o conexiune la Internet, un firewall personal v ă va ofe ri un
plus de siguran ță trans misiilor de date. Cum astăzi majorita tea utiliz atorilor tind să
schim be clasica conexiune dial-up cu m odalități de con ectare mai eficiente (cablu,
ISDN, xDSL sau telefon m obil) , pericolul unor atacuri reu șite asupra sistem ului
dumneavoastră crește. Astfel, m ărirea lărgim ii de band ă a conexiu nii la In ternet
facilitează posibilitatea de "strecurare" a in trușilor nedori ți.

102

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
Astfel, un f irewall este f olosit p entru două scopuri:
• pentru a p ăstra în afara re țelei utiliza torii rău intenționati (v iruși, vierm i
cyberne tici, hacker i, cra ckeri) ;
• pentru a p ăstra utilizato rii loca li (ang ajații, clienții) în rețea .
3.2.2 Politic a Firewall-ulu i
Înain te de a constru i un firewall trebuie hot ărâtă politica sa, pentru a ști care va
fi funcția sa și în c e fel se va im plementa ac eastă funcție.
Politica f irewall-u lui se poate alege urm ând câțiva pași simpli:
• alege ce servicii va deservi firewall-ul
• desem nează grupuri de utilizatori care vor fi proteja ți
• definește ce fel de protec ție are nevo ie fiecare g rup de utilizatori
• pentru serviciul fiec ărui grup descrie cum acesta va fi protejat
• scrie o d eclarație prin care oricare alte for me de access sun t o ilegalitate
Politica v a deveni tot m ai com plicată cu tim pul, dar deocamdat ă este bine s ă fie
simplă și la obiect.
3.2.3 Clasificări
Firewall-urile pot fi clasificate dup ă:
• Layerul (stratul) din stiva de re țea la care opereaz ă
• Modul de implem entare

În funcție de layeru l din stiva TCP/IP (sau OSI) la care op erează, firewall-ur ile
pot fi:
• Layer 2 (M AC) și 3 (datagram ): packet filtering.
• Layer 4 (transport): tot packet filtering, dar se poate diferen ția între pro tocoale le
de transport și există opțiunea de "sta teful firewall", în ca re sistem ul știe în oric e
mom ent care sunt prin cipalele caracteris tici ale urm ătorului pach et așteptat,
evitând astf el o întreag ă clasă de at acuri
• Layer 5 (ap plication): applica tion le vel f irewall (exis tă mai multe denu miri). În
general se com portă ca un server proxy pentru diferite protocoale, analizând și
luând decizii pe baza cuno ștințelor despre aplica ții și a con ținutului
conexiunilor. De exem plu, un server SMTP cu antiv irus poate fi con siderat
application f irewall pentru em ail.

Deși nu este o distinc ție prea corect ă, firewallurile se pot împ ărți în do uă mari
catego rii, în func ție de modul de im plem entare:
• dedicate, în care disp ozitivul care rulea ză software-ul de f iltrare este dedic at
acestei opera țiuni și este practic "in serat" în re țea (de obicei chiar dup ă router).
Are avantajul unei s ecurități spo rite.
• combinate cu alte facilit ăți de networking. De exem plu, routerul poate servi și pe
post de f irewall, iar în c azul rețelelo r mici același calcu lator poate juca în acela ți
timp rolul d e firewall, r outer , file/print server, etc.

103

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
3.2.4 Ce "poate" și ce "nu poate" s ă facă un firewall?
Un firewall poate s ă:
• moni torizeze căile de pătrundere în re țeaua privat ă, perm ițând în felul acesta o
mai bună monitor izare a tr aficulu i și deci o mai ușoară detect are a încercărilor
de inf iltrar e;
• blocheze la un moment dat traficul în și dinsp re Intern et;
• selecteze accesul în spa țiul privat p e baza informa țiilor conținute în pach ete.
• perm ită sau inte rzică accesul la re țeaua public ă, de pe anum ite stații specificate;
• și nu în cele din urm ă, poate izola spa țiul priv at de cel pub lic și realiza interfa ța
între cele do uă.

De asem eni, o aplica ție firewall nu poate:
• interzice importul/exportul de inform ații dăunătoare vehiculate ca urm are a
acțiunii răutăcioase a unor utilizatori apar ținând spa țiului privat (ex : căsuța
poștală și atașamentele);
• interzice scurgerea de infor mații de pe alte c ăi care oco lesc firewall-ul (acces
prin dial-up ce nu trece p rin rou ter);
• apăra rețeaua privat ă de utiliz atorii ce f olosesc sistem e fizice m obile de
introdu cere a date lor în r ețea (USB Stick, dischet ă, CD, etc.)
• preveni m anifestarea ero rilor de proiectare ale aplica țiilor ce realizeaz ă diverse
servic ii, precum și punctele slabe ce decurg di n exploatarea acestor gre șeli

3.3 Informa ții despre firew all sun Window s XP
3.3.1 Cum încep să utilizez un firewall?
Un firewall este înco rporat în Micro soft Windows® XP. Este posibil s ă începeți
chiar as tăzi, utilizând caracter istica "Parava n de prote cție W indows XP pe ntru
conexiunea Intern et". În majorita tea situațiilor, pașii din pagina despre protejarea PC-
ului vă ajută să activați firewall-ul pentru conexi unea Internet în W indows XP și trebuie
utiliza t dacă aveți un singur com puter cu care v ă conectați la Inte rnet. Câteva op țiuni
suplim entare pentru firewall m ai sunt dispon ibile, aces tea fiind solu ții soft ware și
hardware. Acestea ar trebui luate în considerare dac ă aveți o versiune m ai veche de
Windows, dac ă aveți problem e de c ompatibilitate cu firewall-ul din W indows XP sa u
dacă intenționați să utilizați un f irewall cu cara cteristici diferite.
Versiunile de W indows ante rioare W indows XP nu se li vrau cu un firewall
pentru conexiunea Internet. Dac ă aveți un computer cu o ve rsiun e mai veche de
Windows și acesta este conectat direct la Internet, ar trebui s ă cum părați și să utilizați un
firewall.
3.3.2 Cum aflu c e versiune de Windows utilizez?
1.Faceți clic p e Start , apoi pe Run.
2.În caseta de dialog Executare , tastați winver . Faceți clic pe OK. O casetă de dialog v ă
va spune ce versiune de W indows executa ți.
Utilizato rii de W indows XP car e doresc caracteristici dife rite într-un firew all pot
să utilizeze, de asem enea, un firewall hard ware sau unul software de la un alt
104

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
producător. În unele s ituații, utilizato rii avansați pot opta pentru utilizarea în re țea atât a
unui firewall software cât și a unuia hardware.
3.3.3 Verificarea stării Windows Firewall
Pentru a verifica dac ă verify that W indows Firewa ll este pornit se efectueaz ă
următorii pași:
1. Click Start , and then click Control Panel .
2. From the Control Panel , click Windows Firewall.

3. Dacă Windows Firewall este On, atunci este pornit.
4. Dacă Windows Firewall este Off, atunci el este în chis, pentru al porni click pe
On.

3.3.4 Ad ăugarea unei excep ții în Windows Firewall
Uneori, W indows Firewall blocheaz ă un program care este folosit pentru
conectarea la Internet. Dac ă dorim ca acest p rogram să aibă acces la Intern et, putem
adăuga în Windows Firewall o excep ție pen tru acesta, lucru care se efectu ează astfel:
1. Dăm clik pe tab-ul Exceptions )figura de m ai sus);
2. Clik pe Add Program …
3. în Add a Program dialog box, click Browse.
105

Laborator Securitatea sistemelor inform atice Lucra rea nr.3

4. și căutăm aplicația căreia dorim să-i permitem să treacă de Firewall;
5. Windows Firewall va ad ăuga o excep ție pentru program ul selectat. Și îi va
perm ite să se conecteze pe Internet cu un alt calculator. (de exem plu Yahoo
Messenger).
3.3.5 Probleme de com patibilitate cu ISP, hardware sau software
Conexiunile la Internet ale uno r distribuitori ISP nu apar în folderul Conexiuni
în rețea. De exem plu, versiunile m ai vechi ale program elor de conexiune AOL sau MSN
nu sunt compatibile cu firewall-ul din W indows XP. Dac ă vă confrunta ți cu aceast ă
incom patibilita te, luați legătura direc t cu distribu itorul ISP pentru asisten ță. În anum ite
cazuri, distribuito rii IS P furnizeaz ă un firewall personal alte rnativ, fie soft ware, fi e
hardware.
În anum ite cazuri, conexiunea pentru ISP poate ap ărea în folderu l Conexiuni în
rețea, însă nu veți ved ea fila Complex în cas eta de dialog Proprietăți conexiune sau nu
veți vedea caseta de s electare Paravan de protec ție a con exiunii la Internet . Aceasta
înseam nă că software-ul de conexiune ISP nu este com patibil cu firewall-ul.
Firewall-ul poate s ă interfereze cu anum ite pro grame și utilitare de rețea de pe
computer. În m ajoritatea cazurilo r, aveți pos ibilita tea să corectați selectiv ac este
incom patibilități reglând func ționar ea firewall-ului sau c erând asistență furnizorului de
software sau ISP. Uneori, o versiune nou ă de software va corecta aceast ă problemă.
3.4 Desf ășurarea lucr ării
Studenții vor efectua urm ătoarele o perații:
• vor verifica dac ă Windows Firewall este pornit, iad dac ă aces ta este în chis îl vor
porni;
• vor adăuga o excep ție pentru aplicația "W indows Messenge", a c ărei locație pe
hard disc este "C:\Program Files\Messenger\m smsgs.exe";
106

Laborator Securitatea sistemelor inform atice Lucra rea nr.3

3.1 Păcălirea Fire wall/IDSurilor și ascunderea identit ății
Mulți pionieri ai internetului au prev ăzut o rețea globală deschisă cu un spa țiu
universal de adrese IP perm ițând conexiuni virtuale între oricare dou ă noduri. Acest
lucru perm ite hostu rilor să acționeze ca parten eri în com unicație, să serveas că și să
obțină informații unul de la celalalt. Oamenii pot accesa sistem ele de acas ă, să schimbe
temperatura în cas ă sau să deschidă ușa pentru oaspe ții grăbiți. Viziunea conectivit ății
universale a fost în ăbușită de m icșorarea spa țiului de ad rese și de problem ele de
securitate. L a început ul anilor 90, organiza țiile a u început implem entarea f irewallu rilor
cu scopul precis de reducere a conectivit ății. Rețele uriașe au fost separa te de Interne tul
nefiltrat pr in aplicații proxy, traduceri de adrese de re țea (NAT) și filtre de pache te.
Fluxul nerestric ționat d e informații a făcut loc canalelor d e com unicație aprob ate și
supuse unor anum ite reguli, precum și controlu lui datelor ce trece p rin ele.
Obstacole le din rețea cum ar fi firewallurile pot face din m aparea rețelei o
operație extrem de difi cilă. Nu va deveni m ai ușor din mom ent ce constrângerile
aplicate re țelei rep rezintă adesea un scop al im plem entării no ilor ech ipam ente în re țea.
Nu e m ai puțin ad evărat ca Nm ap oferă multe opțiuni pentru în țelegerea aces tor rețele
complexe și să verifice dac ă filtrele funcționează așa cum trebuie. Chiar sup ortă
mecanism e de depășire a sistem elor de ap ărare prost im plem entate. Pune ți-vă în pielea
unui atacator și aplicați tehnici din aceas ta secțiune în re țeaua dum neavoastră. Lansați
un atac sărit FTP, o scanare Idle, o frag mentare a atacu lui sau încercați realizarea u nui
tunel printr-un proxy de-al dum neavoastr ă.
În plus fa ță de restric țiile rețelelor, com paniile au încep ut să monitorizeze
traficu l cu sistem e de detec ție a intruziunilor (IDS). Toat e IDSurile cunoscute sunt
livrate cu re guli ca re să detecteze s canările Nm ap deoarece aces tea preced de obicei un
atac. Multe dintre aces tea sau tran sformat în sistem e de prevenir ea intruziun ilor ( IPS)
care blo chează în m od ac tiv traficul presupus m alițios. Din p ăcate pentru adm inistratorii
de rețea și vânzătorii IDSurilor, detec tarea în m od corect a re lelor inten ții prin
analizarea p achetelor es te o p roblemă dificilă. Atacato rii cu răbdare, îndem ânare și
ajutor din partea anum itor opțiuni Nm ap pot în m od norm al să trea că de IDS
nedetecta ți. Între tim p, adm inistrato rii au de a face cu o m ulțime de a lerte false când
trafic inocen t este greșit diagnosticat și se em ite o atenționare sau este chiar blocat.
Câteodată oam enii sugereaz ă ca Nmap nu ar trebui s ă ofere func ții de păcălire a
regulilor f irewallur ilor sau de trece rea nedetectata de IDS. Argum entează prin faptul c ă
pot fi folosite de atacato ri. Problem a în acest ra ționam ent este că ataca torii to t vor găsi
instrum ente sau patch uri pentru Nm ap pentru a realiza acest lucru. Între timp,
administratorii pot descoperii c ă munca lor es te m ult mai dificilă. Instalarea num ai a
serverelo r FTP m oderne, cu patchur ile ap licate la zi e ste o m etodă mult mai bună de
protecție decât prev enirea distribu irii instrumentelo r ce im plem entează atacu rile sărite
FTP.
Nu există nici o op țiune m agică în Nm ap pentru detectarea și păcălirea
firewallu rilor si a sistem elor ID S. Acest lucru ia îndem ânare și experien ță O prezen tare
detaliată este dincolo de scopul acestei lucr ări de labo rator, care listea ză doar opțiunile
relev ante și descrie ce fac ele.

-f (fragm entează pachetele);
–mtu (foloseste MTU s pecificat – Un itatea Ma xima de Transm itere)
107

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
Opțiunea -f face ca scanarea cerut ă (inclu zând scanarea p ing) să foloseasc ă
fragm ente m ici de pachete IP. Id eea es te îm părțirea head erulu i TCP în m ai multe
pachete pentru a îngreuna m isiunea filtrelo r de pachete, sistem elor de detectare a
intru ziunilor și a altor elem ente de detectare a activ ității. Atenție cu aceas ta opțiune!
Unele program e au problem e în manevrarea a cestor pachete m ici. De exem plu Sniffi t
eșua după prim irea primului fragment. Specifica ți această opțiune o dat ă și Nm ap va
împărți pachetul în fragm ente de opt bytes sau m ai puțin după headeru l IP. Astfel, un
header TCP de 20 bytes va fi îm părțit în 3 p achete. Dou ă de opt bytes și unul cu ultim ii
patru. Desigur, fiecare f ragment are propriul h eader TCP. Specifica ți –f încă o dată
pentru folosirea a 16 bytes pe fragm ent (reducând num ărul de fragm ente). Sau pute ți
specifica propriile dim ensiuni cu op țiunea–mtu . Nu specifica ți și -f dacă folosiți –
mtu. Dim ensiunea trebu ie să fie un multiplu d e 8. Pachete le fragmentate nu vor trece de
filtrele de pachete și firewallur ile c are interogh ează toate fragm entele IP, cum ar fi
opțiunea CONFIG_IP_ALW AYS_DEFRAG din kernel ul Linuxului, unele re țele n u-și
pot perm ite pierderea de perfor manță cauzată de aceste configur ări și le dezactiv ează.
Altele nu p ot activa configurările de acest gen deoarece fr agmentele pot intra pe rute
diferite în rețea. Unele sistem e defragm entează pachetele d e ieșire în kernel. L inux cu
modulul de urm ărire a conexiunii din ipta bles este un exem plu. Realiz ați o scanare și
rulați în ac elași timp u n sniffer de genul Ethereal pentru a vă asigura c ă pachetele
sunt fragmentate. Dacă sistem ul de operare v ă crează problem e, încercați opțiunea –
send-eth de sărire a n ivelului IP și de trimitere d e cadre ethe rnet bru te.

-D <momeala1 [,momeala2][,ME (EU)],…> (Scanare aco perita de m omeli)

Face ca o scanare acoperit ă de momeli să fie ex ecutată, ceea ce face ca ținta să
creadă că momelile spe cificate ca argument scaneaz ă și ele rețeaua. As tfel IDS po ate
raporta 5-10 scan ări de porturi de la adre se IP unice, dar nu va știi care adres ă scanează
cu adevărat și care sun t mom eli inocente. Cu toate ca aceas ta tehnica po ate fi contrat ă
prin urmărirea căii prin routere, ignorarea r ăspunsului și alte m ecanism e active, ea
reprezintă o tehnică eficientă de ascundere a adresei IP.
Separați fiecare mo meală prin virgule și folosiți opțional ME (adică propria
adresa IP ) ca una dintre mom eli pentru a reprezenta adev ărata poziție a a dresei IP rea le.
Daca pune ți ME în a șasea poziție sau mai târz iu, unele detectoare de scan ări de porturi
(cum ar fi Solar Design) pot s ă nici nu afi șeze adresa IP real ă. Dacă nu folosi ți ME, nmap
îl va pune într-o pozi ție aleatoare.
Rețineți faptul c ă țintele pe care le f olosiți ca mom eli trebu ie să fie active sau
altfel ris cați să inundați cu pachete SYN ținta. În aceea și ordine de idei, este u șor de
determ inat cine face scanarea dac ă o singur ă adresă IP e ste activă. E de preferat s ă
utilizați adr ese IP în lo c de num e (astf el încât num ele hostului dum neavoastr ă să nu
apară în logurile DNSului țintă).
Mom elile s unt f olosite atât în pin gul in ițial (folosind ICMP, SYN, ACK sa u
orice altcev a) și în tim pul scanării ef ective de portur i. Momelile sun t de asem enea
folosite la detectarea sistem ului de operare ( -O). Mom elile nu f uncționează cu detecția
versiun ii sau scanarea T CP connect().
Nu folosi ți prea m ulte mom eli deoarece pot în cetin i scanarea și o pot face m ai
puțin cor ectă. De asem enea, unii ISP vor f iltra pach etele f alse, dar m ulți nu
restricționează pachetele IP de loc.
-S <Adresa_IP> (Seteaza adres a IP sursa)
108

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
În anum ite circum stanțe, Nm ap se poate af la în im posibilitate a deter minării
adresei su rsă (Nm ap va anun ța dacă acest lucru s e întâmpla). În aceast ă situație, folosiți
–S cu adres a IP a in terfeței pe care dori ți să trim iteți pachetele.
Altă posibilă utilizare a acestei op țiuni este s ă faceți ținta să creadă că este
scanata de altcineva . Imaginativă o com panie perm anent scanat ă de un com petitor!
Opțiunea –e va fi în general necesar ă pentru as tfel de utilizare si -P0 este de asem enea
recom andă.
-e <interfata> (Foloseste in terfata specificata)

Spune Nmapului ce interfa ță să foloseasc ă pentru tr imiterea și prim irea
pachetelor. Nm ap ar trebui s ă poată dete rmina autom at ace st lucru, da r vă va anunța
dacă nu poate.
–source-port <numarul_portului>;-g <numarul_portului> (Seteaza portu l
sursa)

O greșeală surprin zător de des întâ lnită o reprezint ă configurarea rela țiilor de
încred ere în funcție de num ărul portului sur să. Este ușor de înțeles cum stau lucrurile.
Un adm inistrator instalează un nou firewall și este apo i îngropat în p lângeri d in par tea
utilizatorilor ne mulțumiți ale căror a plicații nu m ai funcționează. În particular, DNSul
poate fi blocat deoarece r ăspunsurile UDP DNS de la serv erele externe nu m ai pot intra
în rețea. FT P este un alt ex emplu. În transf erurile FTP active, serv erul încearc ă să
stabileas că o conexiune înapoi la cl ient pentru transferarea fi șierului so licitat.
Soluții secu rizate la aceste prob leme exis tă, de obicei sub form a de proxiuri la
nivelu l aplic ație sau m odule firewall care analizeaz ă protocoalele. Din p ăcate ex istă și
soluții mai simple și mai nesigure. Notând faptul c ă răspunsurile DNS vi n de la portul
53 și cele de la conexiunile FTP de la portul 20, mul ți adm inistratori au căzut în capcana
perm iterii necondi ționate a traficulu i de la aceste portu ri. Adesea ei presupun c ă nici un
atacator nu va observa și exp loata as tfel de găuri în firewall. În alte c azuri,
administrato rii cons ideră aceas ta rezolvare ca una pe term en scurt pân ă când vor
implem enta o solu ție mai sigură. Apoi ei uit ă să mai facă upgradeul de securitate.
Adm inistra torii rețelelor supraînc ărcate nu sun t singurii care cad în aceast ă
capcană. Num eroase produse au fost livrate cu aceste reguli nesigure. Chiar și Microsoft
are partea ei de vina. Filtrele IPsec livrate cu W indows 2000 și Windows XP con țin o
regulă implicită care per mite traf icul oricărui pachet UDP cu portul sursa 53 (DNS) sa u
67 (DHCP).
Nmap oferă opțiunile -gsi–source-port (care sunt echivalente) pentru
exploatarea acestei sl ăbiciuni. Specifica ți un num ăr ca argum ent și Nmap va trim ite
pachete de la acel po rt oric ând aces t lucru es te pos ibil. Nm ap trebu ie să folosească
portur i diferite pen tru an umite tes te de detectare a sistem ului de operare și cererile D NS
ignoră opțiunea –source-port deoarece Nmap se bazeaz ă pe librăriile sistem ului
pentru a le m anevra. Multe scan ări TCP, incluzând-o pe cea SYN, suport ă această
opțiune, la fel ca și scan area UDP.
–data-length <numar> (Adaugă un număr aleator de date la pachetul trim is)

În m od norm al Nm ap trim ite pach ete m inimaliste conținând doar headerul.
Astfel pachetele TCP au în general 40 bytes și cererile de r ăspuns ICMP doar 28.
Această opțiune adaug ă un num ărul dat ca argum ent de bytes, genera ți aleator, la
majoritate a pachete lor trim ise. Pach etele pen tru detecția sistem ului de operare ( -O) nu
109

Laborator Securitatea sistemelor inform atice Lucra rea nr.3
sunt afectate, dar m ajoritatea p ingurilo r și scanărilor de porturi sunt. Acest lucru
încetinește viteza de scanare, da r pachetele pot fi m ai puțin suspicio ase.
–ttl <valoare> (Seteaza cam pul IP tim e-to-liv e – tim p de viata)
Setează câmpul IP tim e-to-live – tim p de viata – la valo area s pecificată.
–randomize-hosts (Scaneaza hos turile in ord ine aleatoare)

Spune Nm apului să aranjeze aleato r grupuri de 8096 hosturi înainte de scanare.
Această opțiune poate face scanarea m ai puțin vizibil ă pentru anum ite sistem e de
monitoriz are a rețelei, în special cân d se com bină cu un specificato r mic de tim p. Dacă
vreți ca aranjarea aleatoare s ă se realizeze pen tru grupuri m ai mari, creșteți valoarea
PING_GROUP_SZ din nmap.h si și recom pilați. O solu ție altern ativă o reprezint ă
generarea listei de IPuri ce urm ează a fi scanat ă cu o scanre de tip lista ( -sL -n –
oNnumefisier ), și să realizați aranjarea aleatoare a lor cu un scrip t Perl, apoi s ă
furni zați întreaga list ă Nmapului cu op țiunea -iL.
–spoof-mac <adresa mac, prefix, numele vanzatorului > (Falsifica adresa
MAC)

Cere Nm apului să folosească adresa MAC furnizat ă pentru to ate cad rele ethernet
pe care le trim ite. Aceas tă opțiune implic ă –send-eth pentru a se asigura c ă Nmap
trimite pach etele la n ivelul rețea. MAC-ul specificat poate avea câteva for mate. Dacă
spcificați șirul “ 0”, Nmap aleg e un MAC complet aleator pentru s esiunea resp ectivă.
Daca șirul furnizat este un num ăr par de digi ți hexa (cu perechile separate prin
caracteru l “:”), Nm ap va folosi respectiva adresa MAC. Dac ă mai puțin de 12 digi ți sunt
furni zați, Nm ap umple 6 bytes cu v alori aleatoare. Dac ă argum entul nu es te nici 0, nici
șir hexa, Nm ap caută în nmap-mac-prefixes pentru a g ăsi un produc ător ca re să
conțină șirul dat (căutare insenz itivă). Dacă o asemănare este g ăsită, Nm ap folos ește
identificatorul unic al vânz ătorului (3 bytes) și completează cu 3 bytes ale și aleator.
argum entele valide ale o pțiunii
–spoof-mac sunt Apple 0 ,01:02:03:04:05:06 , deadbeefcafe , 0020F2 , și Cisco .

110

Laborator Securitatea sistemelor inform atice Lucra rea nr.4

4 Proxy server
4.1 Obiective:
ƒ înțelegerea func ționării și a rolului unui se rver proxy în securitatea sistem elor
informatice;
ƒ pornirea și configurarea unui server proxy s ub sistem ului de operare Windows
XP;
ƒ instalarea și configurarea WinGate.

4.2 Generalit ăți/Defin iții Server Proxy

Probabil c ă mulți dintre dum neavoastră, dacă vă veți hotărî să instalați un astfel
de server pentru re țeaua la care sunte ți conectați, veți fi puși în f ața unor decizii destul
de grele, problem a configur ării unui astfel de sistem fiind destul de com plicată. În
continuare se vor prezenta câteva solu ții în a cest sen s, pen tru m ai multe va riante de
rețea (W indows NT sa u W indows 2000, Unix) pentru a v ă ajuta să insta lați și să
configura ți cu succes un astfel de p rogram.
4.3 Server Pro xy pentru WINDOWS

Prim a soluție se preteaz ă platformelor W indows NT sau W indows 2000 și
poartă num ele de Microsoft Proxy 2.0. Dup ă ce vă hotărâți să procedați la ins talarea
acestu i prox y va trebui s ă validați pentru ins talare (să bifați sau să debifați) opțiunile
necesare pentru ca serverul s ă funcționeze în param etrii doriți de dum neavoastră.
Recom andate sunt opțiunile de in stalare a s erverului propriu-zis, share-ul pentru clien ții
compatibili W indows NT și Windows 9x, uneltele de adm inistrare și ev entual
docum entația și suportul pentru clien ții ce folosesc W indows NT Alpha sau W indows
3.x.
Stabilir ea valorii cache
Al doilea pas este configurarea cache-ulu i, pentru aces t lucru ave ți nevoie de o
partiție NTFS, celelalte tipur i nefiind suportate. Pute ți să nu selecta ți instalarea cache-
ului, dar atunci nu ve ți beneficia d ecât de op țiunile de securitate ale serverului. V a
trebu i să specificați valoarea cache-ului, pentru cal culul acesteia fiind recom andată
formula 0,5xC+100MB, unde C este num ărul de clien ți deserviți de server.
Tabela de adrese loca le
În a treia etap ă va trebui să configura ți tabe la de adrese loc ale (Loc al Address
Table – LAT). Prin interm ediul acestei tabele clien tul pro xy va ști care sunt adr esele
locale din re țea în s copul de a le contacta f ără a m ai „trece” prin serverul proxy. Aici
aveți mai multe op țiuni, put eți adăuga un interval de adrese (Add private ranges), dar
trebuie avut în vedere c ă aces tea vor fi accep tate ca fiin d adrese interne referitor la
Intern et și procedura trebuie execu tată cu atenție pentru a nu se „strecu ra” vreo ad resă
externă nedorită. De asem enea pute ți încărca ad resele existen te în tabela de rutare (Load
from NT internal Routin g Table) ale tuturor ada ptoare lor de rețea sau le pute ți selec ta
doar pe cele dorite. În cazul în care exist ă adapto are de rețea conectate la o re țea externă
trebu ie să selectați „Load known address rang es from the following IP interface cards”
111

Laborator Securitatea sistemelor inform atice Lucra rea nr.4
și apo i să selectați doa r dispo zitivele inte rne. Puteți, bin eînțeles, să inse rați sau să
ștergeți adrese specifice din LAT, cu condi ția de a nu introduce ad rese IP extern e.

Configurarea clien ților
Prim a dată trebu ie să stabiliți cum se vor con ecta clien ții la server, aceas ta
făcându-se în dou ă moduri, fie dup ă num ele de host fie dup ă adresa IP. A treia op țiune,
configurarea m anuală, nu este d isponibilă decât dac ă reinstalați serverul proxy, caz î n
care pu teți păstra sau suprascrie configura ția deja existent ă.
Apoi este recom andat să optați pentru configurarea autom ată a browserelor W eb
pentru a suporta proxy, deci validarea op țiunii „Autom atically conf igure the clients W eb
browser during the client setup” și configurarea autom ată definită în fișierul Ar ray.d ll.
Valoarea pentru portul TCP nu trebuie m odificată (por tul prestabilit este TCP 80).
Se poate renun ța la folosirea configura ției exis tente predef inite în Ar ray.dll, pu tând fi
folosit un script de configurare, sau se pot modifica unele set ări din Array.dll prin
apelarea la configurarea avan sată a c lienților (Advanced Client Configuration)
disponibil ă ulterior acces ării propriet ăților (Properties). În acest punct pute ți stab ili dacă
browserele Web vor folosi proxy pentru serverele locale, op țiune inițial nevalid ată. De
asem enea pute ți seta ca pentru an umite adres e IP conectarea s ă nu se facă prin
interm ediul proxy, adresele și măștile lor de subre țea trebuind s ă le specifica ți în
fereastra de m ai jos. Poate s ă se renunțe la proxy în favoarea conect ării directe pentru
anum ite dom enii și se poate m odifica ruta de siguran ța (în cazul în care serverul p roxy
nu m ai este func țional se recurge la o rut ă alternativ ă care poate fi un alt proxy sau
conectarea d irecta la Internet).
Limita rea a ccesului
În acest pun ct se stab ilesc criteriile de limitare a accesu lui la unele pro tocoale
sau servicii Interne t. Puteți dispun e de contro lul accesulu i pentru WinSock Proxy
Service, pentru W eb Proxy Service sau pentru am ândouă. Inițial, am bele sunt selec tate
și e bine de știut că în configura ția prestab ilită nu se ofer ă acces nim ănui din re țeaua
internă către Internet prin serverul proxy. Dac ă optați pentru configurația pres tabilită
trebu ie apo i să creați drepturi (pentru grupuri, sta ții solita re sau pen tru toata rețeaua
internă) privind conectarea la Inte rnet prin interm ediul serv erulu i proxy . De asem enea
se poate beneficia de op țiunea filtr ării de pach ete în cazu l în care a ți optat pentru
instalarea u neltelor de adm inistrare. Aceast ă filtrare de pach ete lim itează tipul de trafic
și de conexiuni pe care util izato rii ex terni le fac c ătre rețeaua intern ă.
Înain te de a apela la un serv er proxy trebuie avute în vedere configura ția și structura
rețelei și de software-ul de re țea de pe sta țiile clien t folosit pentru a c ontacta re țeaua
externă. În mom entul implem entării se rveru lui se re comandă să faceți o lis tă cu to ate
aplic ațiile T CP/IP f olosite d e către clienți pen tru con ectarea la re țeaua externa, în
special treb uie avute în vedere bro wserele W eb folosite d eoarece fiecare ap licație ce
doriți să foloseasc ă serve-rul proxy trebuie configurat ă în acest s ens. Browserele
cunoscute, cum sunt Internet Explorer sau Netscape, pot fi configurate autom at, dar
poate fi nevoie de configurare m anuală pentru alte aplica ții. Integrarea serverului proxy
în rețea se află în strânsă legătură cu m odul în care clien ții se conecteaz ă la Intern et. De
exem plu, dacă doriți forțarea conexiunii num ai prin interm ediul proxy, trebuie s ă aveți
grijă să nu m ai existe alte rute către In ternet d isponibile . În acest caz este esen țial să
dezactiva ți opțiunea „IP forwarding” pentru serverul dumneavoastr ă. Acest lucru se
poate face din pagina de propriet ăți pentru TCP/IP, și în cazul în care nu dezactiv ați
aceas tă opțiune serverul pe care es te instalat proxy poate face rutarea de pachete f ără a
112

Laborator Securitatea sistemelor inform atice Lucra rea nr.4
mai folosi proxy. De asem enea trebuie verificate și routerele existente ce pot oferi acc es
la In ternet, dacă acestea exis tă trebuie s ă satisfacă aceleași condiții de control și
securitate oferite de proxy.
4.4 Desf ășurarea lucr ării
4.4.1 Instalare și configurare server proxy WinGate
Versiunea W inGate 6.2.1 se poate download-a și folosi tim p de 30 de zile gratuit
de pe http://www. wingate.com /download.php .
Cele m ai indicate m oduri de instalare a WinGate sunt prezentate în figura 1, în
care serveru l WinGate are leg ătură directă la Internet sau prin interm ediul unui m odem
sau router. Pe aceast ă interfață, Serverul are o adres ă IP public ă. Pentru conexiunea la
rețeaua local ă, poate avea o a doua interfa ță, conectat ă cu un switch pentru a perm ite
accesu l mai multor utilizatori.

Configurarea adaptorului pentru LAN
Placa de re țea de pe Server ca re va fi conectat ă la LAN, va fi configurat ă static
cu un IP privat (vezi figura 1), ia r câm purile pentru Default Gateway și DNS server for
fi lăsate goale.
Configurarea adaptorului pentru WAN
Placa de re țea ce va face conexiunea cu In ternetu l va fi configurat ă astfel: Stație
WinGate
1. dacă conexiunea este realizat ă direct la internet, se va da un IP static Public,
care este oferit d e către provideru l de Intern et (IS P);
2. dacă conexiunea este realizat ă printr-un router (a șa ca în lab orator), care are
pe el un server de DHCP por nit, atunci IP va fi ob ținut autom at bifând
opțiunea Obtain IP address autom atically.

Procesul de instalare
Procesul de instalare este identic oric ărei aplicații sub W indows.
La instalare trebu ie să optăm pentru una din variantele: C lient W inGate sau
Server W inGate.

Fig.2: Alegerea tipului instal ării: Server sau Client WinGate. Server
WinGate LAN WAN
Modem /
Router 192.168.1.2 /24
Switch
Stație
WinGate
INTERNE T
Stație
WinGate 192.168.1.3 /24
192.168.1.1 /24 IP: au to
Gateway : empty DG: a uto
DNS: em pty DNS: aut o 192.168.1.4 /24
Fig. 1: Instalarea și cofigurarea un ui server proxy sub Windows.
113

Laborator Securitatea sistemelor inform atice Lucra rea nr.4

WinGate Server va fi instalat doar pe un singur calcu lator, cel care va face
legătura la Internet.
Ferestrele care se deschid în procesul de instalare sunt urm ătoarele:
1. Insta ll directory
2. Important
3. NT Users and Authentic ation
4. Email
5. ENS
6. Auto Update
7. Activate W inGate
8. Begin Installation
9. Insta llation Com pleted

Procesul Po st-ins talar e
Odată ce WinGate Serv er a fost instalat, sunt câteva set ări care trebuie f ăcute
pentru a ne asigura de corectitudinea func ționării W inGate.
1. WinGate Engine – este instala t și rulează ca serviciu numit Qbik W inGate
Engine, și poate avea trei st ări de func ționare: sta ting, running și stopped.
2. Gat eKeeper – oferă toate func ționalitățile lui WinGate pentru a opera și oferă
posibiliteatea de configu rare a aces tuia cu o in terfață num ită GateKeeper, vezi figura 2.

Conexiunea la re țea
După conectarea la GateKeeper, urm ătorul pas es te șă se verifice dac ă WinGat e
a descoperit și clasificat corect conex iunea la re țea, lucru care se face astf el:
1. se selecteaz ă tab-ul Network de pe partea dreapt ă a GateKeeper;
2. în secțiunea netw ork c onnection vor fi afișate toate in terfețele descoperite
de W inGate;
3. dublu click pe interfa ța care con ectează WinGate Server la re țeaua local ă;
114

Laborator Securitatea sistemelor inform atice Lucra rea nr.4
4. în fereastra de dialog ce se de schide se alege General tab;
5. se veri fică dacă interfața est e setată pe Auto sau Internal (trusted prov ate
netw ork);

Interfața Modem / Router – Internet
1. în fereastra Network co nnecti on, dublu click pe interfa ța care conecteaz ă
Serverul W inGate la Modem , Router sau direct la Intern et;
2. în Genera l tab, se selecteaz ă butonul radio External (untrusted netw ork);
3. click OK pentru a salva modific ările.

Astfel, aceas tă interf ață va fi tratat ă de W inGate Server drept conexiunea extern ă
care va fi folosit ă pentru accesarea In ternetulu i.

Testarea co nectiv ității cu clien ții
Odată conectați la Gate Keeper și realizate se tările pentru conexiunile la re țea,
trebu ie verificat c ă toate gazdele d in LAN au acces la In ternet.
Implicit, or icine a re acc es la Internet prin W inGate, pân ă când vor fi definite
restricții. Utiliza torii pot f i urmăriți în Activity tab .

4.4.2 Instalare și configurare Client proxy WinGate
Pe stațiile d in rețea, care se vor conecta la Inte rnet prin P roxy, se va instala
aplic ația Client proxy WinGate, lucr u realizabil prin selectarea în procesul de instalare a
opțiunii Client, vezi figura 2.
WinGate Internet Clien t (WGCI) este un apllet care od ată instalat pe sta ția
client, ne ajut ă să com unicăm cu to ate cererile de navig are pe Inte rnet adre sate către
Winsock Re director Service de pe W inGate Server.
Când o aplica ție bazată pe W insock, cum ar fi un browser intern et sau un
program de e-m ail, emite o cerere c ătre o mașină client de pe Internet, W GIC va
intercepta cererea și o va trim ite la W insock Re director Service de pe W inGate Server
care va trata cererea con form setărilor clientului.
Appletul WGIC per mite definirea modului în care W insock Redirector Service
de pe W inGate Server va trata cererea unei
aplic ații client/serv er care ru lează pe
mașina clientului.

Appletul WinGate In ternet Client

Pentru a lan sa în execu ție appletul
WGI C:

Start Æ Program s Æ WinGate In ternet
Client Æ WinGate Internet Client
Applet
și va apare fereas tra de mai sus.

WGIC va g ăsi au tomat orice serv er
WinGate din re țea, atâta tim p cât W inGate
115

Laborator Securitatea sistemelor inform atice Lucra rea nr.4
server ru lează și are serviciul GDP pornit. Ser viciul GDP este spec ial pro iectat să
perm ită mașinilor WGID să detecteze prezen ța serverelo r WinGate din re țea.

În exem plul din figura de m ai sus, sunt dou ă servere W inGate, 98setx și Witch,
care au fost detectate în re țea. Se poate seta appletul WGIC care din cele dou ă serv ere
să fie folosit, m anual sau autom at.
• Server – este num ele din rețeaua W indows a PC-ului pe care ruleaz ă WinGate;
• Address – este adresa IP privat ă a Serverulu i WinGate;
• Port – este portul T CP pe care
Winsock Redirector Service
rulea ză pe serverul W inGate,
WGIC fol osește W insock
redirecto r Servi ce pentru a oferi
conectivitate la Inte rnet p rin
WinGate, Im plicit, W inGate
folosește portul 2080 pentru a
prim it cere rile W GIC.

Apăsând butonul Add, se deschide
fereastra de m ai jos, prin care se pot
adăuga m anual Servere W inGate.

Aplicații Utilizator – User Applica tion
Acest tab perm ite configurarea m odului în care W GIc va trata aplica țiile
clientului care vor rula pe m așina W GIC.
Tipurile de acces p e care le po t avea aplica țiile sunt: Local Acces, Mixed Acces
și Global Acces.

System Aplication – sun lis tate a plicațiile sistem ului și modului de acces al
acesto ra.
Major itatea aplicațiilor listate au Local Acce ss, care înc hide W GIC pentru
anum ite aplicații. În gen eral, lis ta im plicită nu necesit ă să fie modificat ă.
116

Laborator Securitatea sistemelor inform atice Lucra rea nr.4
4.4.3 Modurile de lucru ale Wi nsock Redirection Application
Aplicațiile c are rulează pe un com puter pot fi îm ărțite în dou ă catego rii:
• Aplicațiile clien t – majoritatea aplica țiilor care cer o conexiune exterioar ă cu
alte com putere aflate pe In ternet (în afara prop riei rețel) pent ru a obține anum ite
servic ii.
De exem plu, navigato rul web se co nectează la un com puter pe care ruleaz ă un
server web și cere să-i trim ită o pagină web în limbaj HTML. Sim ilar este și
servic iul de e-mail POP3.
• Aplicații Server – aceste ap licații ascultă datele de intra re ven ite d e la a lte
computere și oferă servicii către co mputerele cu care sun t conectate.

Modurile A plicație
• Local Acces s Mode
Dacă setăm aplic ația unui clien t la Local A ccess în W GIC, se suspend ă Winsock
Redirector S ervice din W inGate de tratare a cererilor ap licațiilor.
Aplicațiile d in modul de acces local vor fi ignorate de W GIC și astf el trebuie să
posede o m etodă de conexiune alternativ ă pentru a și com pleta cererile. Acest
mod face accesul local ideal pen tru aplica țiile clienților care vor ru la prin
WGI C.
În m ulte cazuri se dore ște utilizarea vitezei și simplicității WinGate NAT pentru
aplic ațiile client (aces t lucru neces ită doar o conexiune aut c ătre In ternet). Orice
aplic ație care vrem să foloseasc ă NAT trebuie seta tă să ruleze în Loca l Acces
Mode.
• Mixed Access Mode
Acest m od este sigur dar func țional doar pentru aplica țiile server. Ace st mod
perm ite întotdeauna aplicațiilor să facă orice conexiune c ătre exterior cu
Winsock redirector Service, dar va pe rmite accesul doar a com puterelor di n
aceeași rețea. Este m ai apropiat pentru aplica țiile server gen Intrane t Web sau
Ftp servers. Se num ește mixt, deoarece ofer ă o aplic ație cu conectivitate atâ t
globală cât și loca lă.
Modul de acces m ixt este alocat autom at oricărei aplic ații server care încearc ă să
asculte pe u n port sis tem (orice m ai mic de 1024). Acesta este un m ecanism de
siguranță al WGIC, care necesit ă în m od explicit se tarea aplic ații în Modul
global de Acces pentru a fi vizibil ă pe Internet.
• Global Acc ess Mode
Acest m od este utilizat când avem un server d e aplicație ce ruleaz ă pe WGIC î n
spatele serv erulu i WinGate, care are trebu ie să prim ească cereri de pe Internet
(server W eb sau Ftp).
O aplicație server poate asculta liber pe porturi sub 1024. Dar din m otive de
securitate a re țelei, conf igurația im plicită pentru W GIC nu va perm ite nici unei
aplic ații să asculte porturi sub 1024. Dac ă rulați un server cu un port sun 1024 și
doriți să fie accesibil com puterelo r din In ternet trebu ie con figurat în mdoul de
acces g lobal.
De obicei, s erveru l Web ascultă pe portul 80 iar un server FT P pe portul 21.

http://www.youngzsoft.net/ccproxy/

117

Laborator Securitatea sistemelor inform atice Lucra rea nr.5

5 Proxy server Squid pe sistem de operare Linux
5.1 Obiective:
ƒ înțelegerea func ționării și a rolului unui se rver proxy în securitatea sistem elor
informatice;
ƒ pornirea și configurarea unui server proxy sub sistem ului de operare Linux;

5.2 Generalit ăți/Defin iții Server Proxy

Probabil c ă mulți dintre dum neavoastră, dacă vă veți hotărî să instalați un astfel
de server pentru re țeaua la care sunte ți conectați, veți fi puși în f ața unor decizii destul
de grele, problem a configur ării unui astfel de sistem fiind destul de com plicată. În
continuare se vor prezenta câteva solu ții în a cest sen s, pen tru m ai multe va riante de
rețea (W indows NT sa u W indows 2000, Unix) pentru a v ă ajuta să insta lați și să
configura ți cu succes un astfel de p rogram.
5.3 Configurarea Squid pentru Linux
Squid este un W eb proxy destinat pentru a rula sub sistem ele Unix, este un
software open-source foarte capabil, ce ofer ă foarte m ulte opțiuni adm inistra torilor c e se
decid să-l utilizeze, cu condi ția de a fi instalat și configurat corespunz ător pentru a
satisf ace necesitățile rețelei. Vom încerca s ă prezentam un ghid con ținând c ele mai
importante aspecte privind conf igurarea acestu i server, clas ate pe dom eniul de in teres .
Opțiuni de re țea
Setarea portului la care Squid va face apel pentru a prim i cereri HTTP se face cu
comanda http_port. Valoarea predefinit ă a acestu i port este 3 128. Pe ntru a suprascrie î n
fișierul de configurare (squid.conf ) valoarea portului se ap elează opțiunea „-a” în lin ia
de com andă, adică #/usr/local/squid/bin/s quid -a <num ar_port>.
Com anda http_port înlocuie ște vechea „tcp_ incom ing_address”.
Pentru s etarea por tului prin c are Squid trim ite și primește mesaje ICP de la
cache-u rile vecine se folose ște comanda icp_ port. Valoarea predefinit ă pentru acesta
este 3130, iar pentru supr ascriere se utilizează opțiunea „-u”: #/usr/lo cal/squid/bin/squid
-u <num ar_port>.
Pentru a se al ătura unui grup m ulticast ca s ă prim ească mesaje m ulticas ting ICP
se folosește mcast_groups <Adresa_IP>. La aceasta op țiune se recurge doar dac ă doriți
să prim iți mesaje m ulticas t, și predefinit Squ id nu es te se tat pentru a prim i astf el de
mesaje. Pentru conectarea la distan ță cu alte s ervere și pentru com unicarea cu alte
cache-u ri folosind HTCP sau CARP este utilizat ă com anda tcp_outgoing_address
<Adresa_IP >. Valoarea ini țială este 255.255.255.255.
Pentru a prim i mesaje ICP de la alte cach e-uri s e setează udp_incom ing_address
<Adresa_IP >, a cărui valoar e prede finită este 0.0.0.0., iar pentru a trim ite pachete ICP
către celelalte cache-u ri se folose ște udp_outgoing_address <Adresa_IP>, a c ărui
valoare este im plicit 255.255.255.255.
Următoarea sec țiune se ocup ă de cazul în care se im plem entează mai m ulte
cache-u ri Squid, și anu me de opțiunile de conf igurare al e algoritm ului de selec ție a
cache-u rilor vecine.
118

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
Pentru specificarea celorlalte c ache-uri în ierarhie s e apelează la com anda
cache_peer. Aceasta se desf ășoară pe cinci câm puri, primul este num ele sau IP-ul
cache-u lui vecin ales, al doilea indic ă tipul de rela ție cu aces ta, al treilea seteaz ă portul
HTTP al serverulu i destinație iar al patru lea setează portul pentru ICP. Ultim ul câmp
este opțional, con ține u nul sau m ai multe cuvinte cheie ce vor fi specificate m ai jos.
Linia de co manda ar fi cache_peer <IP _num ber><relatie> <port_HTTP> <port_ICP>
[<cuvant_cheie_1> <cuvant_chei e_2> … <cuvant_cheie_n ].
Relația în care cache-u l curent se p oate af la cu celelalte cache-uri es te parent
(parin te), sibling (pe acela și niv el) sau m ulticast (pentru grup m ulticast). Cuvintele
cheie sunt proxy-only (pentru a nu salva local obiectele g ăsite în c ache-u l vecin) ,
weight=n (ce seteaz ă „gradul” p ărintelui, v aloarea implicită pentru n este 1, cu cât n este
mai mare cu atât cre ște gradul de importan ță al cach e-ulu i specificat), ttl=n (p entru a
seta un timp de via ță al unui m esaj ICP pen tru un gr up multicas t), no-query (p entru
vecinii ce n u suporta IC P), default (în cazul în care cach e-ul avut în v edere este v ăzut ca
„ultimă soluție”), round-robin (în cazul în care se doresc a fi folosite m ai multe linii
cache_peer), multicast-responder (ce prive ște cache-u l în cauză ca fiind un m embru al
unui grup multicas t, iar m esajele ICP nu vor fi trim ise direct c ătre acesta dar
răspunsurile ICP de la el vor fi acceptate), closest-only (pentru a prim i doar m esajele
Closest_Parent_Miss și nu First_P arent_Miss), no-digest (pentru a nu apela la acest
vecin), no-netb-exchange (prin care se renun ță la c erințele ICMP RTT de la acest
vecin), no -delay (p entru a nu perm ite accesu l acestui v ecin să influențeze întârz ierile),
login=us er:password (în cazul în care cache-u l părinte neces ită auten tificare), conne ct-
timeout=nn (pentru a specifica tim pul de așteptare pen tru realizar ea con exiunii cu acest
vecin, valoarea nn im plicită fiind 30). De avut în vedere, dac ă ați com pilat Squid pentru
a suporta H TCP, că se va proceda la conectarea TCP pe portul 4827, nefiind nici o
opțiune de a schim ba aceasta v aloare.
Pentru a lim ita dom eniile pentru care se va apela la cach e-urile vecine se
folosește cache_peer_dom ain. Linia de com andă este cache_peer_dom ain cache _host
domain [dom ain …]. Dac ă înainte de num ele dom eniului introduce ți „!” se p roduce
negarea dom eniului în cauz ă. Se pot introduce or icâte dom enii doriți, în cazul ma i
multora apelul se va opri la primul ce va da răspuns pozitiv. De exemplu com anda
cache_peer_ domain parent.m y.net.edu va trim ite pachetele c ătre serverul local do ar
dacă obiectul c ăutat exist ă pe un server în dom eniul .e du.
Este posib ilă și modificarea tipului de vecin pent ru une le domenii spec ifice. Puteți trata
câteva do menii diferit fa ță de tipul specificat în cache_peer. De exemplu
neighbor_ type_dom ain cache.m ycache.com sibling .com .net.
Tot în cadrul com enzilor folosite pentru m ai multe cache-uri intr ă și
icp_query_tim eout, maxim um_icp_ quer y_tim eout, m cast_icp_query_tim eout,
dead_peer_ timeout ce s unt urm ate de o valoare rep rezentând num ărul de m ilisecu nde
atribuite opera țiunilo r specificate în linia de com andă, operațiuni pe care nu le vom mai
explic a, titlu l lor f iind destul de sugestiv.
O altă comandă este hierarchy_stoplist … , prin care se renun ța la apelarea
vecinilor pentru anumite șiruri d e caractere ce apar în URL-uri. De exemplu,
hierarchy_stoplist asp jsp va verifica fiecare U RL prim it să vadă dacă există aces te
cuvinte, iar dac ă aces tea apar nu se va apela la vecini ci se va contacta direct serv erul
apărut in URL.
Ultim a și poate cea m ai important ă opțiune de pe acest nivel este no_cache. Prin
aceas ta lin ie de com andă se forțează apelarea direct ă a anum itor obiecte. Se face apel la
119

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
lista de control a acces ului, deci v or exista de fapt dou ă linii de com andă. Starea
prestabilit ă este:
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
Acl-ul QUERY asigur ă că URL-ul con ținând cgi-bin nu va fi apelat prin cache.

Opțiuni ce afecteaz ă dimensiunea cache-ului
Aceste op țiuni se tează valoarea m emoriei f olosite pentru p arametrii ca che-ulu i.
Acestea sun t cache_m em (predefinit 8MB), cache_swap_ low și cach e_swap_ high
(param etri ce procedeaz ă la în locuirea obiec telor din cache func ție de p rocentajul d e
utilizare a cache-u lui, valoarea low prestabilit ă este 90 iar high 95),
maximum_object_ size, minimum_object_ size și maximum_object_size_in_ m emory
(cu valo ri date în by tes), ipcach e_size (im plicit 1024), ipcache_low și ipcache_high
(procen taje ce m archează limitele cachingului adreselor de IP, pentru low prestabilit 90,
pentru high 95), și setul cache_rep lacem ent_policy și memory_repla cement _policy c e
stabilește modul în care obiectele vo r fi înlo cuite în cache când este nevo ie de spațiu.
Acest param etru poate fi LRU, GDSF (G reedy-Dual Size Frequency), LFUDA
(Least Frequently Used W ith Dyna mic Aging).
În următoarea sec țiune ne vom ocupa de instruc țiunile c e privesc c ontrolu l
accesu lui. Prima com andă din aces t set este acl, și se folosește pentru a defini o list ă de
acces.
Sintaxa este acl … | „fisier”.
Sunt m ulți param etri pentru , unul este src (m od prin care s e specifica adresa IP).
Sintaxa un ei astfel d e instrucțiuni este acl s rc IPaddress /netm ask. Aproxim ativ același
lucru se obține și cu dst ca param etru, cu diferen ța ca se face referire la ServerIPaddress.
Pentru controlul unui dom eniu specific se pot folosi ca param etri srcdom ain, dstdom ain
(când se sp ecifică explicit dom eniul) sau s rcdom_regex, dstdom _regex pentru a c ăuta
un dom eniu al cărui num e conține șirul de caractere existen t în com andă. Se poate c ăuta
și în URL, cu param etrii url_regex sau urlpath_regex, cu diferen ța că primul caut ă șirul
de caractere în întreg URL-ul pe când cel de-al doilea îl caut ă doar în sec țiunea ce nu
conține protocolul sau num ele de host. Aceste c ăutari sunt key-sens itive, lu cru ce
trebu ie luat în calcu l.
Accesul po ate fi controlat și prin adresa por tului se rverului destina ție, cu
param etrul port. Sintaxa este acl port <num ar_port>. De asemenea se pot lua în calcul și
protocolul de transfer utiliz at prin param etrul proto (urm at de tipul de protocol, de
exem plu HTTP, FTP), sau m etoda prin care se formuleaz ă cerința prin opțiunea m ethod
(urm ată de tipul m etodei, de exem plu GET, PO ST). Se poate configura astfel încât s ă
verifice bro wserul de la care vin cerin țele (prin op țiunea browser), de exem plu com anda
acl b rowser MOZILLA se va refe ri la ce rințele ce vin d e la b rowserele ce con țin
MOZILLA în antet.
Prin param etrul id ent se pot f orma liste ba zate pe identita tea utiliza torilor, prin
combinarea cu alte comenzi, d e exemplu pr in com anda acl friends ident dan adi gigi
nicu com binată cu http_ access allow friends și urmată de http_ acces s deny all. Ca și în
cazurile an terioare exis tă param etrul ident_ regex ce face o c ăutare (dup ă grupul de
carac tere specificat) în s etul de num e al utiliza torilor.
Setul de param etri proxy_auth și proxy_auth_regex asigur ă autentif icare a
utilizatorilor via p rocese externe. Ace ști parametri neces ită un program extern de
autentif icare să verifice com binațiile <num e_utilizator > + <p arola >.
120

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
Com anda http_access garanteaz ă sau neagă accesul HTTP bazându-se pe listele
de acces definite. Sin taxa este h ttp_access , u nde param etrul poate fi allow (ap robă
accesu l) sau deny (neag ă accesul), de exem plu http_acce ss allow m anager localho st.
Este foarte important ca ultim a linie a unui set de com enzi http_access s ă fie deny all,
deoarece dup ă stabilirea regulilor de acces, dac ă acesta nu e negat atunci este garantat,
deci specifica ți cât m ai multe reguli de acces (fu ncție de ce ave ți nevo ie) iar la sf ârșit nu
uitați linia http_access deny all. F ără această ultim a lin ie acce sul va fi stabilit de
varian ta im plicită, care este allow. Dup ă același sistem lucrează și com anda icp_access,
cu aceea și param etri, allow sau deny, co manda referindu-se la ICP.
Com anda miss_access for țează cache-urile vecine vizate s ă devină cache de acela și
nivel și nu părinți, folosind ace iași parametri. De exem plu m iss_acces s allow clien tlocal
înseam nă că doar grupul specificat are voie s ă prim ească mesaje M ISS, ceila lți clie nți
pot prim i doar HIT-ur i. Valoarea implic ită este m iss_access allow all.
Se m ai poate seta cache_peer_acces s, com andă similară cu cache_peer_ domain,
dar ce ofer ă mai multă flexibilitate folosind elem entele acl. Mai exist ă
ident_ looku p_access, to t cu opțiunile de allow sau deny, com andă ce conține o lis ta de
elem ente acl și prin care pute ți, de exem plu, să recu rgeți la se cvențe de iden tificare
pentru cerin țele ce apar țin stațiilor folosite de mai m ulți utilizatori Unix, dar nu pentru
celelalte s tații. Im plicit n u se recu rge la secv ențe de identificare pentru nici o cerin ță. De
asem enea se poate garan ta sau restric ționa accesu l ținând cont de dat ă și oră.

Setarea par ametr ilor a dministrativi
Prim ul dintre ace ști param etri este cache_m gr <persoana>, el poate fi configurat
în scopul set ării persoan ei care va p rimi mesaj în cazul „c ăderii” cach e-ului. Valo area
implicită a câm pului <persoana> este webm aster.
Prin com enzile cache_ effective_us er <u tilizator> și cache_effective_group
<grup> se pot seta numele utilizatorului sa u gru pului în caz ul în care cache-u l rulează
ca roo t. Valoarea im plicită a parametrului din expresie este nobody. În cazu l în care
cache-u l nu rulează ca root se p astrează num ele curen t de utilizator. D e asem enea de
notat că, dacă nu se ruleaz ă ca root, nu pute ți seta pentru http_port o valoare m ai mică
decât 1024.
Dacă vreți să precizați un num e special de host în mesajele de eroare, defini ți
visible_hostnam e . Altfel valoarea implicit ă este cea return ată de getho stnam e (). Acest
lucru este important în cazul în care ave ți mai multe c ache-uri și prim iți erori în leg ătură
cu IP-forwarding. Dac ă doriți să aveți mai multe stații cu acela și num e vizibil de host,
trebu ie să setați pen tru fiecare un nu me unic diferit prin uniq ue_hostnam e , pen tru a se
putea detecta buclele la forwarding.
Unele servere cache pot func ționa ca servere Web și viceversa. Acestea accept ă
cerințele în am bele for mate, în form atul W eb standard, unde se dau doar calea și fișierul
dorit, și în form atul proxy specific, unde es te necesar întregul URL. Proiectan ții Squid-
ului au decis s ă nu îl lase s ă funcționeze în acest fel, pentru a redu ce numărul de
problem e ce pot ap ărea și a scădea com plexitatea codului. Totu și, dacă se adaug ă un
layer de transla ție în S quid, se pot accepta și înțelege cerințele de tip Web, deoarece
formatul es te în esen ță același. Layer-ul adi țional resc rie cerințele W eb, prin s chimbarea
serverului și portu lui destin ație. Aceast ă cerință resc risă este apoi tratat ă ca una
norm ală, serverul destina ție e conta ctat iar date le sunt scr ise în cache. Acest lucru d ă
Squid-ului o alura de W eb serv er. L ucrul este necesar pentru caching transparent, Squid
poate fi configurat s ă interceptez e cerințele W eb cu scopul de a aduce datele cerute în
121

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
cache, lucru ce nu se poate face f ără „traducerea” din form at We b în for mat cache.
Com anda httpd_accel_h ost <IPAdress> |virtual s etează num ele de host pentru serverul
„accelerat”, în cazul în care da ți adresa de IP a acestu ia, iar dac ă doriți să realizați o
procedura de caching transparen t al traficulu i, trebuie s ă folosiți opțiunea „vir tual” în
locul ad resei IP. Foarte important, în momentul în care recurge ți la httpd _accel_ho st, se
dezactiveaz ă proxy-cach ing-ul și ICP-ul, dar dac ă vreți în c ontinua re să beneficia ți de
aceste op țiuni, seta ți httpd_accel_with_ proxy n ormal on. Setarea portu lui se face cu
httpd_accel_port <portnum ber>. Cerin țele „accelerate” pot fi transm ise doar c ătre un
port, nu exist ă o tabelă ce asociaz ă host-urile accelerate cu un port destina ție, deci acesta
trebu ie specificat. Nu ex istă valo are predefinit ă pentru num ărul po rtului, aces ta treb uie
să corespund ă cu cel din squid.conf în cazul în care prelua ți informațiile de pe s tația
locală, iar dacă vreți să le transm iteți către un set de servere din background în cele m ai
multe c azuri folosiți portul 80, portul im plicit pentru W eb. Pent ru suportul de port
virtu al setați numărul portului pe 0. Dac ă aveți un singur server în background spre care
doriți să transmiteți informația, setați httpd_accel_single_host pe on, dac ă aveți mai
multe astfel de servere, lăsați pe default (off) și folosiți o unealt ă de redirec ționare
pentru a m apa cerințele către serverele de rigoare.
O cerința HTTP include un antet de host, car e este de fapt num ele de host ce
apare în URL. Squid poate fi un accelerator pentru servere HTTP diferite folosindu-se
de aces t antet, dar Squid nu verific ă valoa rea antetului de host și astfel se desch ide o
importantă gaură în securitate. Este recomandat s ă nu folosi ți httpd_
accel_u ses_host_header decât dac ă sunteți foarte în tem ă cu ceea ce face ți. Din păcate
sunteți obligați să activați aceas tă opțiune dacă doriți să rulați Squid ca proxy
transparen t, altfel s erverele virtuale ce au nevoie de antetu l de host nu vo r fi cache-u ite
eficient.
Ar m ai fi multe de spus, există multe alte op țiuni de configurare, pentru suportul
de programe externe, pentru m odul în care obiectele sunt p ăstrate sau elim inate din
cache, s e pot stabili timpii de a șteptare pen tru efectuarea an umitor ope rațiuni (de genul
conectare, identificare, citire a datelor etc.), și de asem enea o sec țiune f oarte im portantă
se ocupă de configurarea fi șierelor în care sun t tipărite activ itățile de rutin ă, erorile ce
apar în re țea (așa num itele fișiere log sau sim plu log-uri). Inform ațiile d in aces te fișiere
reprezintă cea m ai importan tă sursă pentru un adm inistrator, cu ajutorul datelor
existente acolo se pot rem edia problem ele apărute și se poate face re țeaua „sa m eargă”
în param etrii doriți.
Chestiunea cea m ai importan tă în alegerea și configurarea unui proxy este m odul
în care do riți ca aces ta să se integ reze în rețeaua dum neavoastr ă. Înain te de a alege și
insta la un f irewall și un proxy trebuie s ă stabiliți și să creați o balanță între neces itățile
de securitate și perform anțele dorite ale re țelei, precum și gradul de instruire al
utiliza torilor . În ultim ii ani num ărul de atacuri pe Intern et a crescu t îngrijo rător, dar
trebu ie luată în ca lcul și natura „liber pentru toata lum ea” a In ternetulu i, care a ajuns ce
este azi tocm ai din aceast ă cauză, deci „fragm entarea” lui cu o pleiad ă de algoritmi de
autentif icare, parole și chei, f irewall-u ri și alte elem ente de aces t gen îi lim itează
oarecum orizontul și nu este întotd eauna cea m ai potriv ită soluție.
5.4 Desf ășurarea lucr ării
Serverul Squid este derivat din proiectul Harvest început de ARPA, fiind
dezvoltat în continuare de National L aboratory for Applied Network Research. Suport ă
protocoalele http, https, ftp și gopher.
122

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
Squid ne poate ajuta s ă limităm utilizarea bandwidth-ul ui disponibil, pentru a
reduce cheltuielile sau a nu supraînc ărca rețeaua.
Acest lucru e posibil datorita faptului c ă:
• păstrarea p aginilo r web, imaginilor și altor tipu ri de f ișiere pe hard-d isk. În caz
că cinev a se adreseaz ă la una și aceeași pagină – ea nu va m ai fi accesat ă de pe
internet, c i luată din cash. Cu ajutorul acestei func ții poate fi econom isită în
mediu 30% din band ă (depinde și de site -urile vizitate, și de alți parametri).
• în afară de aceasta putem folosi func ția delay p ool pentru a lim ita accesul c ătre
unele site-u ri (de ex emplu care co nțin în url cuvântul porno) sau interzice
download-ul unor anum ite tipuri de fi șiere.

Download ăm sursele de pe site-ul of icial – www. squid-cache.org
1.Instalare –
tar -xjvf sq uid-2.5.STABLE3.tar.bz 2
cd squid-2.5.STABLE3
CC="gcc" \
CFLAGS= "-O3 -march=i686 -fun roll-loops -fomit-frame-pointer" \
./configure \
–prefix=/us r \
–exec-prefix=/usr \
–bindir=/usr/sbin \
–libexecdir =/usr/lib/sq uid \
–sysconfdir=/etc/squid \
–enable-delay-pools \
–enable-ca che-diges ts \
–enable-poll \
–disable-id ent-loo kups \
–enable -truncate \
–enable -xmalloc -statistics \
–enable -linux-netfilte r \
–enable-sta cktraces && ma ke all && ma ke install

2. Pentru a cre ște perform anța squid, e nevoie de o parti ție, sau dac ă nu e posibil
– cream un director cach e.
mkdir /cache
Cel m ai potrivit ar fi alo carea squid-ului un hard disk SCSI.
Adăugăm userul squid și grupul squid, f ără shell (pentru a nu rula proxy serverul
ca root)
groupadd squid
useradd -d /cache -s /sbi n/nologin -g squid squid
chown -R squid:squid /cache

Cream directorul /var/log/squi d , cu proprietarul – squid
mkdir /var/log/squid
chown squid:squid /var/log/squid

3. Configurare:
În continuare voi prezenta structura m inima a fișierului /etc/squid/squid.conf
123

Laborator Securitatea sistemelor inform atice Lucra rea nr.5
#####################################################
# Portul și adresa ip pe care va a ștepta conexiuni squid
http_port 192.168.1.1:8080
# Directo rul în care se va afl ă cache-u l și dim ensiunea lui în M b
#(în cazul de m ai jos – 6000 m b)
cache_dir ufs /cach e 600 0 16 256
# Userul și grupul sub care va rula serverul squid
cache_effective_user squ id
cache_effective_group squid
#Portul pe care squid va trim ite și primi cereri către cache a alto r proxy servere
vecine
#Dacă nu mai avem alte proxy, specific ăm 0
icp_port 0
# Cream acl-urile (acess contro l list):
acl all src 0.0.0.0/0.0.0.0
acl localhost src 127.0.0.1/8
acl lan src 192.168.1.0/24
#clienții proxy serverului nostru
#Paginile ce se creeaz ă dinamic vor fi accesate d irect d e la su rsă
hierarchy_stoplist cgi-bin php asp ?
# Obiectele create dinam ic nu vor fi salvate în cache
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
# Perm item accesu l de la m așina loca lă (dacă este cazul)
http_ac cess allow loc alhost
# Perm item calculatoarelor din re țeaua locala să utilizeze proxy serverul
http_ac cess allow lan
# Inter zicem celor lalți să acceseze sq uid-ul
http_access deny all
# Specific ăm unde squid va p ăstra logurile
cache_acces s_log /var/lo g/squid/access.log
cache_log /v ar/log/squ id/cache.log
cache_s tore_log /var/lo g/squid/sto re.log
# Pidul procesului
pid_filenam e /var/run/squid.pid
#####################################################

Aceasta este configura ția minimă pentru ca squid s ă ruleze. Inițializăm cache-u l
prin com anda:
squid -f /etc/squid/squid.conf – z
Dacă prim iți un m esaj de tipul:
2003/08/11 20:30:28| aclParseIp Data: WARNING: Net mask m asks a way part of
the specified IP in ' 127.0.0.1/8'
nu va speria ți , nu este o eroare, ci o avertizare.
Prim a dată pornim squid-ul cu com anda:
squid -NDCd1
pentru a v edea eventu alele m esaje de eroare. Dac ă totul e ok – avem mesajul:
2003/08/11 20:30:29| Ready to serve requests.
124

Laborator Securitatea sistemelor inform atice Lucra rea nr.5

Squid este g ata pen tru a accepta con exiuni.
Adăugam în scripturile de ini țiere și oprire a s istemului ca squid s ă porneasc ă ,
respec tiv să oprească la startul și oprirea calculatorului. Și să nu uităm să închid em
portul 8080 pentru conexiuni dinaf ară cu ajutorul firewall-ului, și să-l lăsăm desc his
pentru clien ții din rețea.

125

Laborator Securitatea sistemelor inform atice Lucra rea nr.6

6 Open VPN
6.1 Obiective:
ƒ înțelegerea și familiariza rea cu noțiunea de re țea virtu ală privată;
ƒ familiarizar ea cu noțiunea de tunnel între dou ă sisteme pe Internet;
ƒ instalarea și configurarea OpenVPN

6.2 introducere în Open VPN
OpenVPN e ste o solu ție open-source pentru re țele v irtuale private, bazat ă pe
standardul SSL. Poate func ționa în regim de server ce accep tă conexiuni multiple sa u în
regim direct între doi clien ți. Im plem entat la nivelul 2 și 3 OSI, OpenVPN utilize ază
pentru au tentificare și criptare pro tocolul SSL/T LS (SSL = Secure Sockets Layer ), prin
intermediul biblio tecilor OpenSSL și acceptă diferite m etode de autentificare bazate pe
certificate, s mart-card, chei un ice și alte m etode. Leg ătura tip tune l ce încapsule ază
traficul IP între dou ă subrețele sau adaptoare Ethernet se realizeaz ă prin in termediul
unui singur port, fie folosind prot ocolul TCP/IP fie UDP. Aplica ția sup ortă tunele între
adrese IP dinam ice, trav ersarea NAT și Ethernet bridging.
Unul din marile avan taje ale aces tui program este ușurința configur ării atât la
nivel de client cât și la nivel de server, dep ășind din aces t pu nct de ved ere
implementările IPSec din Linux și Windows.
Un alt avantaj este port abilitatea, fiind asigur at suportul pentru urm ătoarele
platform e: Linux, W indows 2000/XP, OpenBSD, FreeBSD, NetBSD, Mac OS X și
Solaris. Im plem entările VPN folosind ca nivel de aute ntificare SSL/TLS au devenit din
ce în ce m ai populare recent, iar Open VPN este una din cele m ai bune solu ții din acest
domeniu.
Printr e de zavanta jele aceste i aplicații se num ără un overhead relativ m are
determ inat de f olosirea SSL, o implem entare m ai puțin ergonom ică sub sistem ul de
operare W indows și o oareca re ins tabilitate în con dițiile folosirii pe conexiuni nesigure,
cu tim pi de laten ță mari, anum ite problem e fiind observate în special pe conexiuni
wireles s la distanță mare.
Aplicația este de zvoltată în regim open-source, putând fi folosită sub licența
GPL1 sau sub licen ță com ercială în cazul în care se dore ște înco rporarea ei în alte
produse care nu sunt di stribuite tot sub licen ță GPL sau o licen ță com patibilă.
6.3 Aplica ție experimental ă
Studenții vor realiza re țeaua din figura 1, vor instala OpenVPN și vor configura
un tunel între un server VPN și un Client VPN urm ând pașii descriși în continuare.
Unul dintre sistem e va fi configurat cu rol de s erver, c elalalt cu ro l de clien t.
Prim ul lucru pe care treb uie sa il facem este sa descarcam OpenVPN- Windows Installer
de la adresa http://openvpn.net/releas e/openvpn-2.0.9-install.exe si sa il in stalam pe ce le
doua sisteme in directorul C:\Program Files\OpenVPN.

1 GPL – Ge neral Public Licenc e – Licență Publică Generală
126

Laborator Securitatea sistemelor inform atice Lucra rea nr.6

Fig.1: Virtual Private Netw ork ruleaz ă printr-un tunel, iar end-point-urile acestuia sunt adresele
IP reale ale Clientului PC2 și Serverului PC1

6.3.1 Pe sistem ul server
mergem în Start -> Run , scriem CMD și dăm enter. În fereastra care se deschide
tastăm:
cd C:\Program Files\OpenVPN\easy-rsa
copy vars.bat.sample vars.bat

Editam apoi vars.bat cu com anda edit vars.bat și modificăm param etrii după
nevoile noastre.
Să presupunem că avem în vars.bat următoarele:
@echo off
set HOME=%Program Files% \OpenVPN\easy-rs a
set KEY_CONFIG=ope nssl.cnf
set KEY_DIR=keys
set KEY_SIZE=1024
set KEY_C OUNT RY= RO
set KEY_PROVINCE= RO
set KEY_CITY=Bacau
set KEY_ORG=SorinPopa
set KEY_EMAIL=sorinpopa@ub.ro

Copiem fișierul openss l.cnf.sample în openssl.cnf cu com anda:
copy openssl.cnf.samp le openssl.cnf
Rulăm următoarele com enzi:
vars
clean -all
build- ca

Urmează generarea certificatulu i și a unei chei private pentru server:
build-key-s erver server

Generăm certificatele și cheia pen tru clien t:
build-key client
127

Laborator Securitatea sistemelor inform atice Lucra rea nr.6

Este im portant ca Common Na me pentru client s ă fie diferit de Comm on Na me
pentru server.
Generăm param etrii Dif fie Hellm an :
build-dh

În directo rul C:\Program Files\Open VPN\config facem un fișier server.o vpn în
care s criem:
mode server
port 1194
proto udp
dev tun
ca "C:\\Prog ram Files\\O penV PN\\easy-rsa\\key s\\ca.crt"
cert "C:\\Pro gram Files\\OpenVPN \\easy-r sa\\ke ys\\server.crt"
key "C:\\Program Files\\OpenVPN \\easy-rsa\\keys\\server.key"
dh "C:\\Prog ram Files\\O penV PN\\easy-rsa\\key s\\dh1024.pem "
tls-server
ifconfig 10.8.0.1 10.8.0.2
ifconfig-pool 10.8.0.3 10.8.0.5 # IP range clients
ifconfig-pool-persist ipp.txt
keepalive 10 120
comp-lzo
persist-key
persis t-tun
status openvpn-status.log
verb 3
mute 20

Putem să pornim OpenVPN cu aceas tă configura ție dacă dăm click dreapta din
explorer pe fi șierul server.ovpn și alegem opțiunea Start OpenVPN on this config file
sau îl putem porni ca și servic iu din Start -> Control Panel -> Administrativ Tools ->
Serices -> OpenVPN Service unde dăm start sau putem seta pe Auto matic la Sta rtup
Type pentru a fi pornit odat ă cu sistemul de operare.

6.3.2 Pe sistem ul client
trebu ie să mergem în directorul
C:\Program Files\OpenVPN\easy-rsa și să cream directoru l keys în c are
copiem de pe server fi șierele:
ca.crt
clien t.crt
client.key

În directorul C:\Progra m Files\Op enVPN\config facem un fișier clien t.ovpn în
care s criem:

clien t
dev tun
128

Laborator Securitatea sistemelor inform atice Lucra rea nr.6
proto udp
remote xxx.yyyy.zzzz.v vvv 1194 #se înlocu iește xxx.yyy.zzz.vvv cu ip server
resolv -retry inf inite
nobind
persist-key
persis t-tun c a "C:\\Progr am Files\ \OpenVPN\\easy-rsa \\key s\\ca.c rt"
cert "C:\\Pro gram Files\\OpenVPN \\easy-r sa\\ke ys\\client.crt"
key "C:\\Program Files\\OpenVPN \\easy-r sa\\ke ys\\client.key"
comp-lzo .
verb 3

Putem să pornim OpenVPN cu această configura ție dacă dăm click dreapta din
explorer pe fi șierul client.ovpn și alegem opțiunea Start OpenVPN on this con fig file
sau îl putem porni ca și servic iu din Start -> Control Panel -> Administrativ Tools ->
Serices -> OpenVPN Service unde dăm start sau putem seta pe Auto matic la Sta rtup
Type pentru a fi pornit o dat ă cu sistemul de operare
După ce am pornit atât s erveru l cât și clientu l ( fără a av ea un mesaj de eroare )
putem să verificăm funcționalita tea tunelulu i creat.
Astfel, pe server m ergem în Start – Run și tastam CMD. Î n fereastra deschis ă
introducem com anda:
ipconfig
Vom obține m ai multe inf ormații printre care vom regăsi și cele din im aginea de
mai jos:

Pe sistem ul configurat ca și clien t la com anda ipconfig obținem informații
printre care trebuie s ă se regăsească și următoarele:

Conexiunea într e cele do uă sistem e o putem verif ica cu u tilitarul ping. Atenție la
configurarea firewall-ului pentru a perm ite ICMP Echo Request și ICMP Echo Replay
atât p e sistemul server cât și client.
De pe sistemul configurat ca și server, care are ip-ul 10.8.0.1 vom da ping în
10.8.0.2 (client)

129

Laborator Securitatea sistemelor inform atice Lucra rea nr.6
De pe sistemul configurat ca și client, care are ip-ul 10.8.0.2 vom da ping î n
10.8.0.1 (server):

130

Bibliografie

1. Anderson R. – Security Engineering : A Guide to Building Dependable
Distributed System s, NY 2001;
2. Andress, M. – Surviving Security: How to In tegrate People, Process and
Technology , SAMS, Indianapolis, 2002, pp. 59-63.
3. Davis D. – " The Problems Catch Up With The Solution ", in Card Technology ,
April 2003;
4. Denning D.E. – Information Warfare and Security , Addison-W esley, Reading,
Massachusetts, 1999;
5. King, C.M., Dalton, C.E., Os managlu, T.E. – Security Arhitecture:
Design, De ployment& Operations ,Osborne/McGraw-Hill, New York, 2001, pp.
18-26
6. Krutz R.L, Vines R.D. – The CISSP Prep Guide – Mas tering the Ten Domains
of Computer Security , Wiley & Sons, Inc. New York, 2001;
7. Schwartan W. – Information Warfare , 2nd Edition , Thu nder' s Mouth Press,
New York, 1996;
8. Simmons G.J. – "The Prisoners' Problem and the Sublim inal Channel", in
Proceedings of Crypto ' 83, Plenum Press 1984;
9. Renesse R. – Optical D ocument Security , 2nd ed., Artech House, 1997;
10. Renesse R. – "Verifying versus Falsyf ying Banknotes", in Optical Security and
Counterfeit Deterrence Techniques II, (1998);
11. U.S. Departm ent of Ene rgy – " Identifica tion o f Classfied In formation ", Offi ce of
Clasification , Decem ber 1991;
12. Tuom as Aura, Pekka Nikander, Jussipekka Leiwo – DoS-resistant
Authentication with Client Puzzles. Proceeding s of the Cam bridge Security
Protocols W orkshop 2000, LNCS, Cam bridge, UK, April 2000, Springer-Verlag
13. G. B. Agnew, R. C. Mullin, S. A. Vanstone – Improved Digital Signature
Scheme based on Discrete Exponentiation, Electronic Letters, Vol. 26, 1990
14. K. Alagappan – SPXInstallation, Digital Equipm ent Corporation, February 1991
15. K. Alagappan, J. Tardo – SPX Guide – A Prototype Public Key Authentication
Service, Digital Equipment Corporation, February 1991
16. K. Alagappan – Telnet authentication: SPX (RFC 1412) , Digita l Eq uipm ent
Corporation, 1993
17. F. Bauspiess, H. J. Knobloch – How to Keep Authenticity Alive in A Computer
Network, Proceedings of EUROCRYPT' 89, Springer-Verlag, Berlin, 199 0
18. S. M. Bellovin, M. Merritt – EncryptedK ey Exchange: Password-Based
Protocols Secure Against Dictionary Attacks, Proceed ings of the IEEE
Symposiu m on Security and Privacy, IEEE Co mputer Society Press, Los
Alam itos, CA, 1992
19. S. M. Bello vin, M. Mer ritt – Augumented EncryptedKey Exchange, Proceedings
of the 1st ACM Conference on Communicati ons and Com puting Security,
Nove mber 1993
20. Steven M. Bellovin, Michael Merritt – Limitations of the Kerberos
Authentication System, AT&T Bell Labs
131

Securitatea siste melor informatice
21. Th. Beth – Effic ient Ze ro-Knowledge Identific ation Schem e for Smart Cards,
Proceedings of EUROCRYPT ' 88, Springer-Verlag, Berlin, 1 989
22. Th. Beth, H. J. Knobloch, M. Otten – Verifiable Secret Sharingfor Monotone
Access S tructures, Proceedings of the 1st ACM Conference on Communication
and Com puting Security, Nove mber 1993
23. Th. Beth, H. J. Knobloch, M. Otte n, G. J. Simmons, P. W ichmann -Towards
Acceptable Key Escrow System, Proceedings o f the 2nd ACM Confer ence on
Communication and Computi ng Security, November 1994
24. T. Beth, H. J. Knobloch, S. Stempel, P. W ichmann -Authentifika tionsdienst
SELANE – Modularisierung und Einsatz, Report 94/3, Univeristy of Ka rlsruhe,
EISS, 1994
25. Leitne r Achim , "Rețele WLAN sigure, cu un tu nel OpenVPN cripta t", Linux
Magazin, nr. 22, iunie 2005;
26. OpenVPN: http:// openvpn. sourceforge. Net
27. Biblioteca L ZO: http:// www. oberh umer. com/opensource/ lzo/
28. Proiect OpenSSL: http:// www. openssl. org/
29. Driver TUN/ TAP: http:// vtun. sourceforge. net/ tun/
30. Thom as T., Primii pa și în securitate a rețelelor, Corint, Bucure ști, 2005.
31. www.squid-cache.org
32. http://www.wingate.com /download.php
33. http://www.youngzsoft.net/ccproxy/
34. http://www.securekit.com /
35. www.digi marc.com
36. www.digi marc-id.com
37. www.aris-techni.fr/

132

Cuprins
1. NOȚIUNI PRIV IND SECUR ITATEA INFORMA ȚIILOR……………………………………………….. 5
1.1. INTRODUCER E………………………………………………………………………………………………………………. ..5
1.2. DEFINIRE A NOȚIUNII DE SECURITATEA INFOR MAȚIILOR………………………………………………………… 6
1.3. SECȚIUNILE STANDARD ULUI DE SEC URITATE ISO / IEC 17799. ……………………………………………… 9
1.3.1. Politica de securitate …………………………………………………………………………………….. ………….. 9
1.3.2. Or ganizarea securității………………………………………………………………………………………………. 9
1.3.3. Clasificarea și control ul activelor ……………………………………………………………………………… 10
1.3.4. Sec uritatea pers onalul ui…………………………………………………………………………………… ……… 10
1.3.5. Sec uritatea fizică……………………………………………………………………………………………………… 11
1.3.6. Ma nagement ul comunicațiilor și al operării……………………………………………………………….. 11
1.3.7. C ontrolul acces ului……………………………………………………………………………………….. ………… 13
1.3.8. Dezv oltarea și întreținerea siste mului………………………………………………………………………… 14
1.3.9. Plan ificarea continuității afacerii ………………………………………………………………………………. 15
1.3.10. C onformitatea ……………………………………………………………………………………………. …………. 15

2. CLAS IFICAREA INF ORMAȚIILOR…………………………………………………………………………….. 16
2.1. NOȚIUNI INTRO DUCTI VE PRIV IND CL ASIF ICAR EA MOD ERNĂ A INFORMAȚIILOR………………………. 16
2.2. CLASI FICAR EA INFOR MAȚIILOR……………………………………………………………………………………….. 17
2.2.1. Informațiile subiec tive……………………………………………………………………………………………… 17
2.2.2. Informații obiectiv e………………………………………………………………………………………………….. 17
2.2.3. Deter minarea necesității cla sificării in formațiilor……………………………………………………….. 18
2.3. DECLASIFCAR EA ȘI DE GRADAR EA INFOR MAȚIILOR CL ASIF ICATE………………………………………….. 19
2.4. PRINCIPI ILE PROTEJĂRII INF ORMAȚIILOR SP ECIALE…………………………………………………………….. 20
2.5. PROTEJARE A MEDIILOR DE STOCARE A INFOR MAȚIILOR………………………………………………………. 21
2.5.1. Marc area materi alelor cu regim speci al…………………………………………………………………….. 21
2.5.2. Păstrarea și distrug erea med iilor de păstrare a inf ormațiilor ……………………………………….. 22
2.6. CLASI FICAR EA INFOR MAȚIILOR ORGAN IZAȚIILOR………………………………………………………………. 22
2.6.1. Criterii de clasifica re a informațiilor la nivelul organizațiilor……………………………………….. 23
2.6.2. Proceduri d e clasificare a informațiilor ……………………………………………………………………… 23
2.6.3. Rol uri și respon sabilități în procesul de cla sificare a informațiilor………………………………… 24

3. CONTROLUL ACCESUL UI ÎN SISTE MELE INFO RMATI CE……………………………………… 25
3.1. TIPURI DE CONTROL AL ACCES ULUI ÎN SISTEM…………………………………………………………………… 25
3.1.1. Modele de control al accesului ……………………………………………………………………………… …..25
3.1.2. For me combinate de control …………………………………………………………………………………. …..26
3.2. IDENTI FICARE A ȘI AU TEN TIFICARE …………………………………………………………………………………… 27
3.2.1. Pri ncipiile de ba ză ale contr olului acc esului ……………………………………………………………….. 28

4. CRIPTOG RAFIA ……………………………………………………………………………………………………. …….. 32
4.1. DEFINIȚII ȘI NOȚIUNI DE BAZĂ…………………………………………………………………………………………. 32
4.1.1. Tehnici utilizat e în cri ptografie…………………………………………………………………………… …….. 33
4.1.1 .1. Substituția…………………………………………………………………………………………………………….. …….. 33
4.1.2. Perm utarea sau transpoziția……………………………………………………………………………………… 35
4.1.3. Cifrul lui Vernam …………………………………………………………………………………………. …………. 35
4.1.4. Ascu nderea informațiilor………………………………………………………………………………………….. 36
4.1.4 .1. Steganogr afia…………………………………………………………………………………………………… ………….. 36
4.1.4 .2. Filigrana rea……………………………………………………………………………………………………. ……………. 37
4.1.4 .3. Securitatea în do meniul tip ăriturilor………………………………………………………………………………… 37
4.2. SISTE ME DE CRIPTAR E PRI N CHEI SIMETRIC E (PRIVAT E)………………………………………………………. 39
4.3. SISTE ME DE CRIPTAR E PRI N CHEI A SIMETR ICE (PUBLICE )…………………………………………………….. 40
133

Securitatea siste melor informatice
4.3.1. Se mnătura digitală…………………………………………………………………………………………………… 41
4.3.2. Sisteme de certific are a cheilo r publice …………………………………………………………………….. ..42
4.3.3. Infrastr uctura cheilor publice ( PKI)………………………………………………………………………… …43

5. MODELE ȘI PRO GRAME DE SE CURITATE ……………………………………………………………….. 44
5.1. MODE LE DE SE CURITA TE MU LTINIVEL……………………………………………………………………………… 44
5.1.1. Modelul Bell-LaP adula……………………………………………………………………………………… …….. 44
5.1.2. Modelul matricei de control al accesului …………………………………………………………………….. 45
5.1.3. Modelul Biba ……………………………………………………………………………………………… …………… 45
5.2. MODE LE AL E SECURITĂȚII MU LTILAT ERALE……………………………………………………………………… 47
5.3. PROGRAMU L DE SEC URITATE………………………………………………………………………………………….. 49
5.3.1. Politicile de securitate …………………………………………………………………………………… ………… 49
5.3.2. Standardele, normele și procedurile de securitate ………………………………………………………… 51
5.3.3. Aspecte practice a le politicii de securita te informațională…………………………………………….. 52
5.3.4. Exemple de po litici de s ecuritate …………………………………………………………………………… …..53

6 SECU RITATEA REȚELE LOR DE CA LCUL ATOA RE………………………………………………….. 59
6.1 MECAN ISME UTILIZATE ÎN SECURIZAR EA REȚELELOR …………………………………………………………. 59
6.1.1 Functionare a DHCP ……………………………………………………………………………………………….. .59
6.1.2 Noțiuni privind securi zarea rețelei…………………………………………………………………………….. 60
6.1.3 Firewa lls………………………………………………………………………………………………………. ……….. 61
6.1.4 Proxy -uri………………………………………………………………………………………………………. ……….. 63
6.1.5 Filtrele de pachete……………………………………………………………………………………………… ……65
6.2 REȚELE VPN ……………………………………………………………………………………………………………. …..65
6.2.1 Point-t o-Point Tunnelin g Prot ocol (PPTP)…………………………………………………………………. 66
6.2.2 Layer 2 Tunneling Protocol ( L2TP) …………………………………………………………………………… 67
6.2.3 IPsec ………………………………………………………………………………………………………….. …………. 68

7. TEHNIC I, SERVI CII ȘI SO LUȚII DE SE CURITATE P ENTR U INTRANET-URI ȘI
PORT ALU RI………………………………………………………………………………………………………. …………………. 69
7.1. INTRODUCER E………………………………………………………………………………………………………………. 69
7.2. CRIPTOGRAFIA ……………………………………………………………………………………………………………… 69
7.2.1. Criptografia cu cheie secretă…………………………………………………………………………………….. 70
7.2.2. Criptografia cu cheie publică……………………………………………………………………………………. 70
7.2.3. Ma nagement ul cheilor și distribuția acestora ……………………………………………………………… 70
7.2.4. Fu ncțiile Ha sh………………………………………………………………………………………………………. …71
7.2.5. Utiliza rea semnăturilor digitale. Risc uri de sec uritate ………………………………………………….. 72
7.2.6. Certificate digitale . Riscuri de securitate ………………………………………………………………….. ..73
7.2.7. Aute ntifica rea Ker beros V5 …………………………………………………………………………………. ……75
7.2.7 .1. Cum func ționează Kerberos V5………………………………………………………………………………………. 76
7.2.7 .2. Riscuri de securitate în Kerberos …………………………………………………………………………………. ….76
7.2.8. Aute ntificarea SSL/TLS …………………………………………………………………………………….. ……… 77
7.2.8 .1. Legătura SSL-HTTP …………………………………………………………………………………………………… …78
7.2.8 .2. Cum func ționează SSL………………………………………………………………………………………………….. 78
7.2.8 .3. Performan ța SSL………………………………………………………………………………………………………….. .79
7.2.8 .4. Riscuri de securitate în SSL……………………………………………………………………………………… ……. 80
7.2.9. Aute ntificare a NTLM ……………………………………………………………………………………….. ……… 80
7.2.10. Comparație Kerber os – NTLM …………………………………………………………………………………. 80
7.2.11. SSH …………………………………………………………………………………………………….. ………………. 81
7.2.11 .1. Autentifi carea prin SSH………………………………………………………………………………………….. …….. 82
7.2.11 .2. SSH1…………………………………………………………………………………………………………… ……………… 83
7.2.11 .3. SSH 2………………………………………………………………………………………………………….. ……………… 83
7.2.11 .4. Algoritm ii de criptare utilizați…………………………………………………………………………………………. 83
7.2.11 .5. Ce poa te prote ja SSH. Riscuri de securit ate ale SSH………………………………………………………….. 84
7.2.12. P GP. Riscuri de securitate………………………………………………………………………………… …….84
134

Cuprins
7.2.13. S/MIM E………………………………………………………………………………………………….. ……………. 86
7.2.13 .1. Funcționar ea S/MIME………………………………………………………………………………………………….. .87
7.2.13 .2. Riscuri de securitate ale S/MIME………………………………………………………………………………….. ..88
7.2.14. Utilizarea firewa ll-urilor î n intraneturi…………………………………………………………………… ..88

8. STRATEG II DE ACHIZIȚIE PENTR U APĂRARE………………………………………………………… 90
8.1. INTRODUCER E………………………………………………………………………………………………………………. 90
8.2. STRATE GII DE SECURI TAT E ALE RĂZBOI ULU I INFOR MAȚIONA L…………………………………………….. 91

Aplicații practice

L1 CRIPTAREA CA METOD Ă DE SEC URITA TE A INFORM AȚIILOR…………………………… 95
1.1 OBIECTIV E:……………………………………………………………………………………………………………… …..95
1.2 CIFRUL LUI CEZAR………………………………………………………………………………………………………… 95
1.3 CIFRUL LUI VERNAM ……………………………………………………………………………………………………… 97
1.4 METO DĂ PROPRIE DE CRIPTAR E………………………………………………………………………………………. 97
1.5 DESFĂȘURARE A LUCRĂRII……………………………………………………………………………………………… 98

L2 STEGANOGRAFIA CA METOD Ă DE SECURITATE A INFORMAȚIILOR …………………. 99
2.1 OBIECTIV E:……………………………………………………………………………………………………………… …..99
2.2 INTRODUCER E………………………………………………………………………………………………………………. 99
2.3 ASCUNDEREA UNUI FIȘIER…………………………………………………………………………………………….. 100
2.4 DESCOPERIREA UNUI FI ȘIER ASCUNS ………………………………………………………………………………. 101

L3 FIREW ALL-URI ……………………………………………………………………………………………………. …….102
3.1 OBIECTIV E:……………………………………………………………………………………………………………… …102
3.2 GENERAL ITĂȚI/DEFINIȚII FIREWALL………………………………………………………………………………. 102
3.2.1 Funcționare a firewall-urilor……………………………………………………………………………………. 102
3.2.2 Politica Fire wall-ului…………………………………………………………………………………………… ..103
3.2.3 Clasificări…………………………………………………………………………………………………………….. 103
3.2.4 Ce "poate" și ce "nu poate" să facă un firew all?………………………………………………………… 104
3.3 INFORMA ȚII DESPRE F IREWAL L SUN WINDOWS XP…………………………………………………………… 104
3.3.1 Cum încep să utilizez un firewall? ……………………………………………………………………………. 104
3.3.2 Cum aflu ce ve rsiune de Windows utiliz ez?……………………………………………………………….. 104
3.3.3 Verifica rea stării Windows Fi rewall ………………………………………………………………………… 105
3.3.4 Adăugarea une i excepții în Wi ndows Firewal l…………………………………………………………… 105
3.3.5 Probleme de compatibilitate cu ISP, hardw are sau software ……………………………………….. 106
3.4 DESFĂȘURARE A LUCRĂRII……………………………………………………………………………………………. 106
3.1 PĂCĂLIRE A FIREWALL/IDS URILOR ȘI ASCUNDERE A IDENTITĂȚII……………………………………….. 107

L4 PRO XY SERVER……………………………………………………………………………………………………. ……111
4.1 OBIECTIV E:……………………………………………………………………………………………………………… …111
4.2 GENERAL ITĂȚI/DEFINIȚII SERVER PROXY ………………………………………………………………………. 111
4.3 SERVER PROXY PENTRU WINDOWS……………………………………………………………………………… 111
4.4 DESFĂȘURARE A LUCRĂRII……………………………………………………………………………………………. 113
4.4.1 Instalare și configurare serve r proxy WinG ate………………………………………………………….. 113
4.4.2 Instalare și configurare Client proxy WinG ate…………………………………………………………… 115
4.4.3 Modurile de lucru ale Winsoc k Redirection App lication ……………………………………………… 117

L5 PRO XY SERVER SQUID PE SISTE M DE OPE RARE LINU X……………………………………… 118
135

Securitatea siste melor informatice
5.1 OBIECTIV E:……………………………………………………………………………………………………………… …118
5.2 GENERAL ITĂȚI/DEFINIȚII SERVER PROXY ………………………………………………………………………. 118
5.3 CONFI GURARE A SQUID PE NTR U LINUX…………………………………………………………………………… 118
5.4 DESFĂȘURARE A LUCRĂRII……………………………………………………………………………………………. 122

L6 OPEN VP N……………………………………………………………………………………………………….. …………. 126
6.1 OBIECTIV E:……………………………………………………………………………………………………………… …126
6.2 INTRO DUCER E ÎN OPENVPN ………………………………………………………………………………………….. 126
6.3 APLICAȚIE EXP ERIM ENTALĂ…………………………………………………………………………………………. 126
6.3.1 Pe sistem ul server………………………………………………………………………………………………. ….127
6.3.2 Pe sistem ul client ………………………………………………………………………………………………. …..128

136